IdentityServer4登录后如何重定向至原页面（无需注册所有路由）

针对你遇到的Hybrid流场景下，MVC客户端访问未授权页面登录后无法回到原页面的问题，我整理了几个实用的解决办法：

1. MVC客户端侧处理（推荐） #

其实原页面的URL应该在客户端发起授权请求时就保存好，ASP.NET Core的OIDC中间件本身支持这个逻辑，不需要在IdentityServer端做额外修改：

在你的MVC客户端的AccountController（或负责登录跳转的控制器）里，修改Login方法：

public IActionResult Login(string returnUrl = "/")
{
    // 验证returnUrl是本地合法路径，防止开放重定向攻击
    if (!Url.IsLocalUrl(returnUrl))
    {
        returnUrl = "/";
    }

    // 创建认证属性，把原页面URL存入RedirectUri
    var authProperties = new AuthenticationProperties
    {
        RedirectUri = returnUrl
    };

    // 发起OIDC挑战，跳转到IdentityServer登录页
    return Challenge(authProperties, OpenIdConnectDefaults.AuthenticationScheme);
}

这个逻辑的原理是：当用户访问未授权页面时，ASP.NET Core会自动把原页面URL作为returnUrl参数传递给Login方法，我们把这个地址存入AuthenticationProperties的RedirectUri中，OIDC中间件在完成IdentityServer的授权流程（跳回/signin-oidc）后，会自动重定向到这个保存的原页面URL。

2. IdentityServer端获取原地址（可选） #

如果你确实需要在IdentityServer的登录页面获取到客户端的原页面URL，可以通过客户端传递的自定义参数实现：

客户端侧传递参数 #

在客户端发起挑战时，把原页面URL存入认证属性的Items集合：

public IActionResult Login(string returnUrl = "/")
{
    if (!Url.IsLocalUrl(returnUrl))
    {
        returnUrl = "/";
    }

    var authProperties = new AuthenticationProperties
    {
        Items = { ["original_client_url"] = returnUrl }
    };

    return Challenge(authProperties, OpenIdConnectDefaults.AuthenticationScheme);
}

IdentityServer侧获取参数 #

在IdentityServer的登录方法中，通过交互服务获取授权上下文，然后从请求的参数里解析出客户端传递的自定义值：

public async Task<IActionResult> Login(LoginInputModel model)
{
    var context = await _interaction.GetAuthorizationContextAsync(model.ReturnUrl);
    if (context != null)
    {
        // 从请求参数中获取客户端传递的原页面URL
        if (context.Request.Parameters.TryGetValue("original_client_url", out var originalUrl))
        {
            // 这里可以根据需要使用这个地址，比如存入会话，后续跳转用
            // 注意：要验证这个URL属于该客户端的可信域名，防止安全风险
        }
    }

    // 后续登录逻辑...
}

不过这种方式需要额外处理参数的加密和验证，不如客户端侧处理来得直接安全。

3. Classic-ASP客户端的特殊处理 #

对于Classic-ASP这类老系统，没法使用ASP.NET Core的中间件，可以这样处理：

• 在Classic-ASP页面中，当用户需要登录时，把当前页面的URL作为查询参数（比如?original_url=/path/to/page.asp）拼接在IdentityServer的登录地址后面。
• 在IdentityServer的登录页面，把这个original_url存入会话或者登录请求的参数中。
• 登录完成并授权后，IdentityServer跳回Classic-ASP的回调页面，回调页面再从会话或参数中取出original_url，重定向到该页面。
• 务必验证original_url属于该客户端的可信域名，避免开放重定向攻击。

关键说明 #

你之前看到的returnUrl是/connect/authorize/callback?client_id=...是正常的——Hybrid流的授权流程必须先回到这个端点完成令牌交换，之后才是客户端自己处理跳转到原页面的逻辑。所以核心是客户端在发起授权前保存好原地址，授权完成后由客户端负责跳转。

内容的提问来源于stack exchange，提问作者Alexandre Rodrigues