集成IdentityServer的Angular SPA OIDC回调400 Bad Request问题排查

从你的描述和排查信息来看，**请求携带的Cookie体积过大（9095字节）**是导致400错误的核心原因——你提到复制回调URL到无Cookie的新浏览器就能正常触发回调组件，这直接验证了问题出在Cookie上。下面是具体的分析和解决方案：

核心原因：Cookie大小超出限制 #

主流浏览器对单个Cookie的大小限制通常在4KB左右，你的请求Cookie总大小接近9KB，远超阈值。服务器或浏览器会直接拒绝处理这类超出限制的请求，返回400 Bad Request。你提到的.AspNetCore.Antiforgery.xkdte50z5pg和idsrv.external是主要的体积贡献者。

针对性解决方案 #

1. 优化IdentityServer外部认证Cookie配置 #

在ABP框架中，你可以通过调整Cookie的存储策略、启用压缩或缩短有效期来减小体积：

// 在Startup.cs的ConfigureServices方法中添加以下配置
services.AddIdentityServer()
    .AddDeveloperSigningCredential()
    .AddInMemoryApiResources(IdentityServerConfig.GetApiResources())
    .AddInMemoryIdentityResources(IdentityServerConfig.GetIdentityResources())
    .AddInMemoryClients(IdentityServerConfig.GetClients())
    .AddAbpPersistedGrants<IAbpPersistedGrantDbContext>()
    .AddAbpIdentityServer<User>();

// 调整应用Cookie配置
services.ConfigureApplicationCookie(options =>
{
    options.Cookie.MaxAge = TimeSpan.FromMinutes(30);
    options.Cookie.SecurePolicy = CookieSecurePolicy.SameAsRequest;
    // 启用Cookie压缩（.NET Core 3.0+支持）
    options.Compress = true;
});

// 专门优化IdentityServer外部认证Cookie
services.Configure<CookieAuthenticationOptions>(IdentityServerConstants.ExternalCookieAuthenticationScheme, options =>
{
    options.Cookie.Name = "idsrv.external";
    options.Compress = true;
    // 缩短外部认证Cookie有效期，减少不必要的持久化数据
    options.ExpireTimeSpan = TimeSpan.FromMinutes(10);
});

2. 临时禁用ABP的Antiforgery验证（排查用） #

ABP默认启用的Antiforgery验证可能会拒绝来自IdentityServer的重定向请求（因为这类请求没有携带Antiforgery令牌）。你可以先在回调对应的控制器/路由上禁用验证测试：

[IgnoreAntiforgeryToken]
public IActionResult AuthCallback()
{
    // 处理OIDC回调逻辑
    return View();
}

如果禁用后恢复正常，说明是Antiforgery规则的问题，后续可以调整ABP的Antiforgery配置，将回调路径加入白名单。

3. 清理冗余Cookie #

检查浏览器中是否存在无关的旧Cookie，手动清理后重新发起认证流程，验证是否还会出现400错误。

额外验证步骤 #

• 用浏览器开发者工具（F12）查看请求的Cookie详情，定位体积最大的Cookie，针对性优化；
• 测试时手动删除idsrv.external或.AspNetCore.Antiforgery.*Cookie，再走一遍认证流程，确认问题是否消失。

内容的提问来源于stack exchange，提问作者Gopi