多子域名场景下Azure AD通过OWIN OpenID登录出现Nonce错误如何解决

问题根因 #

你遇到的报错核心是两个问题叠加导致的：

• 代码中的RedirectUri是从web.config读取的固定值，默认绑定了主域名（如customer.localdomain.com/www.livedomain.com），所以任意子域名发起登录请求时，OpenID中间件都会将回调地址写死为主域名，Azure AD验证完成后自然会跳回主域名。
• nonce值是登录请求发起时写入当前访问子域名的Cookie中的，跳转至主域名后，中间件无法读取原域名下的nonce Cookie，因此抛出IDX21323校验失败错误，和Azure侧的重定向URL白名单配置没有直接关联。

推荐解决方案（符合安全规范） #

动态修改回调地址适配当前请求的子域名，从根源解决跳转错误问题：
在OpenIdConnectAuthenticationOptions的Notifications配置中新增RedirectToIdentityProvider事件，动态生成当前子域名的回调地址，修改后的代码如下：

public void ConfigureAuth(IAppBuilder app){
    app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);
    app.UseCookieAuthentication(new CookieAuthenticationOptions());
    app.UseOpenIdConnectAuthentication(
        new OpenIdConnectAuthenticationOptions{
            ClientId = clientId,
            Authority = authority,
            // 原有固定RedirectUri配置可以保留也可以删除，最终会被事件中的动态值覆盖
            RedirectUri = redirectUri,
            PostLogoutRedirectUri = redirectUri,
            Scope = OpenIdConnectScope.OpenIdProfile,
            ResponseType = OpenIdConnectResponseType.IdToken,
            TokenValidationParameters = new TokenValidationParameters(){
                ValidateIssuer = false
            },
            Notifications = new OpenIdConnectAuthenticationNotifications{
                AuthenticationFailed = OnAuthenticationFailed,
                // 新增动态设置回调地址的逻辑
                RedirectToIdentityProvider = context =>
                {
                    var currentRequestUri = context.Request.Uri;
                    // 按你的实际业务需求拼接回调路径，无特殊需求直接取当前域名根路径即可
                    string dynamicRedirectUri = $"{currentRequestUri.Scheme}://{currentRequestUri.Host}";
                    context.ProtocolMessage.RedirectUri = dynamicRedirectUri;
                    context.ProtocolMessage.PostLogoutRedirectUri = dynamicRedirectUri;
                    return Task.CompletedTask;
                }
            }
        });
    }

注意事项 #

• 仍需确保第三方运维团队已将所有用到的子域名全部加入Azure AD的重定向URI白名单，否则Azure会直接拒绝回调请求。
• 不需要修改SignIn方法的原有逻辑。

临时关闭Nonce校验方案（不推荐生产使用） #

如果仅做临时调试，可以直接关闭Nonce校验绕开报错，但该方案无法解决跳转错误问题，用户登录后仍会跳回固定主域名，且存在重放攻击的安全风险：

app.UseOpenIdConnectAuthentication(
    new OpenIdConnectAuthenticationOptions{
        // 原有其他配置不变
        ProtocolValidator = new OpenIdConnectProtocolValidator
        {
            RequireNonce = false
        }
    });

内容的提问来源于stack exchange，提问作者Cryothic