Microsoft.Identity.Web.UI本地正常部署至App Service失效问题咨询

1. 相同代码本地正常、部署后失效的原因 #

• 本地开发环境运行在HTTP协议下，OIDC中间件的默认配置适配HTTP场景，部署到Azure App Service后默认启用HTTPS，且走Azure反向代理链路，ASP.NET Core默认未开启反向代理头识别，会导致中间件误判当前运行协议为HTTP，生成不符合实际环境的回调地址和Cookie属性。
• 本地运行是单实例场景，ASP.NET Core自动生成的数据保护密钥存储在本地磁盘，加密解密逻辑一致；容器化部署到App Service后如果未配置数据保护密钥持久化，实例重启、多实例调度时密钥会重置，导致之前加密生成的Cookie无法被解密识别。

2. .AspNetCore.Correlation.OpenIdConnect Cookie未找到报错的原因 #

Correlation Cookie是OIDC授权流程发起时，服务端种植的临时校验Cookie，用于确认回调请求和授权发起请求属于同一会话，触发该报错的常见原因如下：

• 协议不匹配：中间件误判当前环境为HTTP，生成的Cookie的Secure属性为false，浏览器在HTTPS站点下不会携带Secure=false的Cookie，导致回调请求未携带该Cookie。
• 域名/路径不匹配：种植Cookie时使用的域名、路径和回调请求的域名、路径不一致，浏览器不会发送对应Cookie到服务端。
• SameSite属性配置错误：Correlation Cookie的SameSite属性不符合浏览器规范，导致被浏览器安全策略拦截。
• 数据保护密钥不匹配：加密Cookie时使用的密钥和回调时解密用的密钥不一致，服务端无法识别已加密的Cookie，会误报Cookie不存在。

3. iOS端验证流程正常、Windows端异常的原因 #

该差异本质是不同平台浏览器的Cookie安全策略执行力度不同：

• Windows端主流浏览器（Chrome、Edge、新版Firefox）严格执行SameSite Cookie规范，默认将未显式声明SameSite属性的Cookie按SameSite=Lax处理，如果你的Azure AD租户域名和应用域名不属于同一顶级域，跨站回调时Correlation Cookie会被拦截；而iOS端Safari（尤其是iOS 14以下版本）对SameSite的默认处理规则更宽松，不会拦截该场景下的Cookie。
• Windows端浏览器默认的跟踪防护策略更严格，部分用户的浏览器配置会主动拦截第三方身份认证相关的Cookie，而iOS端默认隐私配置的拦截力度更低。
• 部分企业Windows环境会配置网络代理，代理策略可能会过滤或篡改部分Cookie请求头，而iOS端通常不会走企业网络代理，不存在该问题。

通用解决方案 #

• 启用ASP.NET Core反向代理头识别，在Program.cs/Startup.cs中添加如下配置：

builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = Microsoft.AspNetCore.HttpOverrides.ForwardedHeaders.XForwardedFor | Microsoft.AspNetCore.HttpOverrides.ForwardedHeaders.XForwardedProto;
    // 可根据实际情况配置信任的代理IP段
    options.KnownNetworks.Clear();
    options.KnownProxies.Clear();
});
// 管道最开头添加中间件
app.UseForwardedHeaders();

• 配置数据保护密钥持久化，可将密钥存储到App Service的挂载持久化目录，避免密钥丢失：

builder.Services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"/home/data-protection-keys/"))
    .SetApplicationName("你的应用名称");

• 显式配置OIDC Cookie的SameSite属性，适配最新浏览器规范：

builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(options =>
    {
        // 其他身份验证配置保持不变
        options.CorrelationCookie.SameSite = SameSiteMode.None;
        options.CorrelationCookie.SecurePolicy = CookieSecurePolicy.Always;
        options.Cookie.SameSite = SameSiteMode.None;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    });

• 确认Azure AD中注册的应用回调地址和实际部署的应用/signin-oidc地址完全一致，包括协议（HTTPS）、域名、路径。

内容的提问来源于stack exchange，提问作者Chris Sherry