配置Forms Authentication的应用集成Azure AD登录无法跳转门户问题

• Forms身份验证模块残留：哪怕注释了web.config的Forms配置段，IIS托管管道中如果还注册了FormsAuthenticationModule，会自动拦截Owin返回的401挑战响应，替换为重定向到本地登录页的302响应，覆盖跳转到Azure AD的逻辑。
• Owin中间件注册顺序错误：如果Azure AD认证中间件排在原有身份认证、授权中间件之后，挑战请求会被前面的中间件拦截，不会触发Azure跳转逻辑。
• Challenge参数不匹配：调用Challenge方法时传入的租户Host参数，如果没有在Owin的OpenIdConnect配置中预先注册为对应身份验证方案，Challenge找不到对应处理程序，就会走默认认证逻辑重定向到本地登录页。

1. 彻底移除Forms认证残留配置
   web.config中除了注释段外，还要显式移除Forms认证模块，同时豁免Azure登录相关路径的授权校验：

<system.webServer>
  <modules>
    <!-- 移除Forms认证模块拦截 -->
    <remove name="FormsAuthentication" />
  </modules>
</system.webServer>
<!-- 给Azure登录处理路径开匿名访问权限 -->
<location path="你的AzureLogin接口路径">
  <system.web>
    <authorization>
      <allow users="?"/>
    </authorization>
  </system.web>
</location>

2. 调整Owin中间件注册顺序
   Startup类的Configuration方法中，必须优先注册Azure AD认证中间件，同时保证配置的AuthenticationType和后续Challenge传入的参数一致：

public void Configuration(IAppBuilder app)
{
    // 最先注册Azure AD认证中间件
    app.UseOpenIdConnectAuthentication(
        new OpenIdConnectAuthenticationOptions
        {
            // 此处AuthenticationType要和后续Challenge调用的第二个参数完全匹配
            AuthenticationType = OpenIdConnectAuthenticationDefaults.AuthenticationType,
            // 设为Passive模式，避免自动拦截所有未登录请求，兼容原有认证逻辑
            AuthenticationMode = AuthenticationMode.Passive,
            ClientId = "你的Azure AD应用客户端ID",
            Authority = "https://login.microsoftonline.com/你的租户ID",
            RedirectUri = "你的应用回调地址",
            // 其余常规配置项
        });
    // 后面再注册原有身份认证、授权等其他中间件
}

3. 修正Challenge调用逻辑

private void AzureLogin() 
{    
    var authProperties = new AuthenticationProperties { RedirectUri = "/" };
    // 第二个参数和Startup中配置的AuthenticationType保持完全一致
    HttpContext.Current.GetOwinContext().Authentication.Challenge(
        authProperties, 
        OpenIdConnectAuthenticationDefaults.AuthenticationType);
}

内容的提问来源于stack exchange，提问作者Developer