ASP.NET MVC对接IdentityServer4时Nonce过期触发IDX21323错误如何处理？

该错误是ASP.NET OIDC中间件的默认限制导致的常见场景：Nonce是OIDC协议用于防止重放攻击的校验参数，中间件会将生成的Nonce值存到客户端Cookie中，默认有效期为15分钟。用户在IdentityServer登录页停留超过该时长后，客户端的Nonce Cookie已过期被清理，IdentityServer返回的ID Token仍携带最初生成的Nonce值，就会触发IDX21323校验失败错误。

• 方案1：延长Nonce Cookie有效期
  直接调整OIDC中间件的Nonce Cookie有效期到符合业务需求的时长（比如设置为1小时，可根据用户平均登录停留时长调整），.NET Core/5+配置示例如下：

  services.AddAuthentication(options =>
  {
      options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
      options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
  })
  .AddCookie()
  .AddOpenIdConnect(options =>
  {
      // 其余IdentityServer4相关配置省略
      // 调整Nonce Cookie有效期为1小时
      options.NonceCookie.Expiration = TimeSpan.FromHours(1);
      // 配套Cookie安全配置，避免被浏览器拦截
      options.NonceCookie.SameSite = SameSiteMode.Lax;
      options.NonceCookie.HttpOnly = true;
      options.NonceCookie.SecurePolicy = CookieSecurePolicy.SameAsRequest;
  });
  

  如果是.NET Framework版本的ASP.NET MVC，对应在UseOpenIdConnectAuthentication配置中修改NonceCookie.ExpireTimeSpan属性即可。

• 方案2：捕获校验异常，自动重走认证流程
  无需调整有效期，通过监听OIDC的远程认证失败事件，捕获Nonce校验失败的错误后自动发起新的认证请求。此时用户已经在IdentityServer完成登录，新的认证请求会直接回调客户端完成校验，用户无感知，配置示例如下：

  .AddOpenIdConnect(options =>
  {
      // 其余配置省略
      options.Events = new OpenIdConnectEvents
      {
          OnRemoteFailure = context =>
          {
              // 判断是否为Nonce校验失败的错误
              if (context.Failure is OpenIdConnectProtocolInvalidNonceException 
                  && context.Failure.Message.Contains("IDX21323"))
              {
                  // 重定向到首页，会自动触发认证挑战
                  context.Response.Redirect("/");
                  context.HandleResponse();
              }
              return Task.CompletedTask;
          }
      };
  });
  

• 不推荐方案：关闭Nonce校验
  错误提示中提到可设置OpenIdConnectProtocolValidator.RequireNonce = false绕过校验，但Nonce是OIDC协议防重放攻击的核心安全措施，关闭后会引入显著的安全风险，无特殊需求请勿使用该方案。

内容的提问来源于stack exchange，提问作者Borislav Borisov