如何强制Identity Server 4将所有/connect/authorize请求路由到自定义方法

根因说明 #

IdentityServer4默认对/connect/authorize端点的请求会优先校验当前用户会话状态：如果用户已登录且会话有效，且客户端配置了跳过同意页，会直接生成授权码并重定向到回调地址，不会触发跳转自定义登录页的流程，这就是已登录用户不会走到自定义LogIn方法的核心原因。 #

可选解决方案 #

方案1：客户端请求携带prompt=login参数（无服务端改造成本） #

OIDC标准协议定义了prompt请求参数，取值为login时会强制身份提供商忽略现有会话状态，要求用户重新完成身份认证流程。你只需要在SPA拼接授权请求时固定添加该参数即可：

https://localhost:5010/connect/authorize
?client_id=cool_client
&response_type=code
&redirect_uri=http://localhost:4200/auth
&scope=openid
&param=1337
&prompt=login
该方案无需修改服务端任何代码，调整客户端请求逻辑即可立即生效。

方案2：服务端自定义授权交互响应生成器（全局生效，无需改客户端） #

如果不允许修改客户端请求逻辑，可以通过替换IdentityServer4默认的IAuthorizeInteractionResponseGenerator实现全局强制走自定义登录逻辑：

1. 自定义实现类继承默认的AuthorizeInteractionResponseGenerator，重写ProcessLoginAsync方法强制返回登录跳转结果：

using Microsoft.AspNetCore.WebUtilities;
using IdentityServer4.ResponseHandling;
using IdentityServer4.Models;
using IdentityServer4.Validation;

public class CustomAuthorizeInteractionGenerator : AuthorizeInteractionResponseGenerator
{
    public CustomAuthorizeInteractionGenerator(
        ISystemClock clock, 
        ILogger<AuthorizeInteractionResponseGenerator> logger, 
        IConsentService consent, 
        IProfileService profile) 
        : base(clock, logger, consent, profile)
    {
    }

    public override async Task<InteractionResponse> ProcessLoginAsync(ValidatedAuthorizeRequest request)
    {
        // 如需针对特定客户端豁免强制登录，可放开下方注释
        // if(request.Client.ClientId == "豁免客户端ID")
        // {
        //     return await base.ProcessLoginAsync(request);
        // }
        
        // 强制触发登录流程，保留原有returnUrl逻辑
        return new InteractionResponse
        {
            IsLogin = true,
            RedirectUrl = QueryHelpers.AddQueryString("/login", "returnUrl", request.ReturnUrl)
        };
    }
}

2. 在服务端依赖注入配置中替换默认实现：

var builder = WebApplication.CreateBuilder(args);

// 原有服务注册逻辑保留
builder.Services.AddIdentityServer()
    // 你原有的IDS4配置，比如AddInMemoryClients、AddInMemoryIdentityResources等
    .AddAuthorizeInteractionResponseGenerator<CustomAuthorizeInteractionGenerator>();

该方案全局生效，不需要调整任何客户端的请求逻辑，所有/connect/authorize请求都会强制路由到你自定义的/login接口。 #

内容的提问来源于stack exchange，提问作者Konrad Viltersten