如何在Azure AD应用注册中用state参数解决AADSTS50011重定向URL不匹配错误

AADSTS50011报错的触发逻辑是Azure AD对redirect_uri执行严格匹配校验：身份验证请求中携带的redirect_uri必须和应用注册「身份验证」面板中配置的地址完全一致，包含路径、查询参数、大小写、协议（HTTP/HTTPS）。你当前把动态业务参数拼接在redirect_uri中，参数值随用户变化，自然无法全部提前注册，因此触发报错。
你更换新App Service实例后才出现报错，大概率是旧实例的运行逻辑刚好匹配了此前Azure AD宽松的校验规则，现在Azure AD已经全面启用严格匹配，新实例触发了校验逻辑。

1. 配置固定回调地址 #

首先在Azure AD应用注册的「身份验证」面板，注册所有你需要用到的固定回调地址，不要携带任何动态参数，示例：
https://myapp.mycompany.com/auth/callback
新部署的App Service对应的域名回调也要同步添加到配置中。

2. 基于state参数传递动态业务状态 #

OAuth 2.0协议定义的state参数原生支持跨请求的状态保存，同时可用于防CSRF攻击，完全可以用来承载你的动态业务参数，实现逻辑如下：

• 用户点击邮件中的业务链接https://myapp.mycompany.com/edit?user=42&created=somedatetime访问应用时，应用侧先拦截请求，将当前需要保存的业务路径/edit?user=42&created=somedatetime做如下任一处理：
  • 直接做URL安全的Base64编码，得到编码后字符串
  • 或在服务端用Session/Redis存储该路径，生成一个随机GUID作为对应存储Key
• 构造AAD身份验证请求时，redirect_uri固定填写你提前注册好的回调地址（不需要带任何业务参数），将上一步得到的编码字符串/GUID作为state参数的值传入请求
  示例请求结构：

  https://login.microsoftonline.com/myTennantId/oauth2/authorize?response_type=id_token&client_id=myClientId&redirect_uri=https%3A%2F%2Fmyapp.mycompany.com%2Fauth%2Fcallback&state=L2VkaXQ_dXNlcj00MiZjcmVhdGVkPXNvbWVkYXRldGltZQ==&nonce=xxx
  

• 用户完成身份验证后，AAD会自动重定向回你注册的固定回调地址，同时会将state参数原封不动带回
• 回调接口拿到返回的state参数后，反向解码Base64得到原业务路径，或用state作为Key从Session/Redis中查询得到原业务路径，校验登录态有效后，直接302跳转到对应业务地址即可

3. 注意事项 #

• 若使用Base64编码state，必须使用URL安全的Base64规范，避免特殊字符被转义导致解析失败
• 若使用服务端存储state，需要设置合理的过期时间，避免无效数据占用存储
• 回调地址的协议、域名、路径、大小写必须和注册的配置完全一致，否则仍会触发匹配错误

内容的提问来源于stack exchange，提问作者Daniel Przybylski