ASP.Net MVC使用MSAL认证时AntiforgeryToken损坏如何处理

ASP.NET MVC 默认防伪令牌会与当前用户会话绑定，同时存储在站点Cookie和请求的表单字段/头信息中。MSAL 走OAuth 2.0授权码流跳转微软登录页的过程属于跨站跳转，回跳时的请求上下文和触发登录前的请求上下文不匹配，自然会触发防伪令牌校验失败错误。

方案1：跳过MSAL回调接口的防伪校验（最推荐） #

MSAL 回调请求本身会携带微软侧签发的授权码、state校验参数，MSAL 框架本身会对这些参数做合法性校验，state参数本身就是OAuth2协议中用来防范CSRF攻击的机制，因此回调接口不存在额外CSRF风险，直接给回调Action标记忽略防伪校验即可：

// MSAL 回调接口
[HttpPost]
[IgnoreAntiforgeryToken]
public async Task<ActionResult> MsalCallback()
{
    // 原有MSAL身份验证处理逻辑
}

如果项目全局注册了防伪校验过滤器，可单独对回调路径做排除：

// Global.asax 或 Startup 类的过滤器配置逻辑
public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
    filters.Add(new ValidateAntiForgeryTokenAttribute());
    // 为MSAL回调路径单独配置忽略校验，优先级高于全局校验规则
    filters.Add(new IgnoreAntiforgeryTokenAttribute(), Order: 1)
        .When(context => context.HttpContext.Request.Path.StartsWithSegments("/Account/MsalCallback"));
}

方案2：回调完成后重新生成防伪令牌 #

如果回调处理完成后需要跳转到站点内的受保护页面，且该页面依赖防伪令牌，可以在身份认证逻辑执行完成、用户身份已写入站点Cookie后，手动生成新的有效防伪令牌：

// 在MsalCallback方法最后，执行跳转前调用
AntiForgery.GetTokens(null, out string cookieToken, out string formToken);
// 将新的令牌Cookie写入响应
Response.Cookies.Add(new HttpCookie(AntiForgeryConfig.CookieName, cookieToken));
// 如果需要传递表单令牌给跳转目标页，可存入ViewData或Query参数
ViewData["AntiForgeryFormToken"] = formToken;

方案3：调整防伪令牌Cookie配置保留原有令牌 #

如果业务场景确实需要保留跳转登录前的防伪令牌，可调整防伪Cookie的SameSite策略适配跨站跳转：

// Startup.cs 中配置防伪服务
services.AddAntiforgery(options =>
{
    // 适配跨站跳转的SameSite策略，HTTP环境用Lax，HTTPS环境可按需设为None
    options.Cookie.SameSite = SameSiteMode.Lax;
    // 若设置SameSiteMode.None必须开启Secure属性，仅HTTPS环境可用
    // options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
});

注意：将SameSite设为None会提升CSRF攻击风险，仅建议在可控的业务场景下使用，不推荐作为通用方案。

内容的提问来源于stack exchange，提问作者Arturo Acuña