Azure Web App基于Azure AD（OpenIdConnect）认证失败求助

这个间歇性的AAD认证问题确实挺棘手的，结合你描述的现象（仅Chrome可用、部分机器异常、偶尔恢复），大概率是浏览器配置、OIDC参数或者网络环境的问题，我给你梳理几个关键排查方向：

1. 优先检查浏览器的第三方Cookie权限 #

IE、Edge和Firefox默认对第三方Cookie的限制比Chrome严格，而AAD认证流程依赖跨域Cookie（比如login.microsoftonline.com下发的认证Cookie）。你需要：

• 对于IE：打开Internet选项 → 隐私 → 高级，将第三方Cookie设置为「接受」，或者把你的Web App域名和login.microsoftonline.com添加到信任站点；
• 对于Edge/Firefox：在浏览器设置里搜索「Cookie和网站权限」，确保允许第三方Cookie，或者单独信任login.microsoftonline.com域名。

2. 修正OIDC配置里的重定向URI错误 #

看你Startup.cs里的代码，RedirectUri和PostLogoutRedirectUri用了同一个值，这是不合理的。RedirectUri应该是认证完成后回调到你Web App的地址（默认是https://<你的应用域名>/signin-oidc，这是OIDC中间件的内置回调路径），而不是登出跳转地址。调整后的代码如下：

public void ConfigureAuth(IAppBuilder app) {
    app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);
    app.UseCookieAuthentication(new CookieAuthenticationOptions());
    app.UseOpenIdConnectAuthentication(
        new OpenIdConnectAuthenticationOptions {
            ClientId = Config.ClientId,
            ClientSecret = Config.ClientSecret,
            Authority = Config.Authority,
            PostLogoutRedirectUri = Config.PostLogoutRedirectUri,
            RedirectUri = "https://yourapp.azurewebsites.net/signin-oidc", // 替换为你的实际应用域名+默认回调路径
            Notifications = new OpenIdConnectAuthenticationNotifications() {
                // 添加失败捕获，获取详细错误信息
                AuthenticationFailed = context => {
                    context.HandleResponse();
                    context.Response.Redirect($"/Error?message={Uri.EscapeDataString(context.Exception.Message)}");
                    return Task.CompletedTask;
                }
            }
        });
}

同时要确保这个RedirectUri已经在Azure AD应用注册的「认证」页面中添加到「重定向URI」列表，类型选择「Web」。

3. 开启详细日志捕获真实错误 #

目前浏览器控制台没有日志，通用的错误提示帮不上忙，你可以：

• 在Azure Portal的Web App → 监控 → 日志流中，开启应用日志并设置日志级别为「Verbose」，查看认证过程中的详细输出；
• 上面代码里添加的AuthenticationFailed回调会把具体的异常信息返回给你的应用，这样就能看到是令牌验证失败、回调地址不匹配还是其他问题。

4. 排查机器的网络/代理限制 #

部分机器出现问题，很可能是网络环境的差异：

• 检查这些机器是否使用了企业代理，确认代理没有拦截login.microsoftonline.com的HTTPS请求，或者修改了请求头；
• 直接在异常机器上访问https://login.microsoftonline.com，确认能正常加载登录页面；
• 排查是否有杀毒软件、防火墙或者安全工具拦截了浏览器的认证流程（比如阻止了弹窗、跨域请求）。

5. 核对Azure AD应用注册的关键配置 #

• 确认应用注册的「API权限」中，openid和profile是委派权限且已获得管理员同意；
• 在「身份验证」页面，确保启用了「ID令牌」（因为你的response_type包含id_token）；
• 检查租户是否有条件访问策略，比如限制了某些IP范围、要求设备合规，导致部分机器无法通过认证。

内容的提问来源于stack exchange，提问作者Karthikeyan