ASP.NET Core通过FusionAuth授权时登录后跳转signin-oidc报错咨询

已知复现链路 #

• 访问加了[Authorize]标记的页面时，可正常跳转至FusionAuth托管登录页
• 完成账号登录后，页面自动重定向到http://localhost:5000/signin-oidc时触发未处理异常，无法走完登录流程

核心排查方向 #

FusionAuth控制台侧配置校验 #

• 打开对应接入应用的OAuth配置页，核对重定向URI白名单条目
• 白名单里的回调地址必须和ASP.NET Core应用实际配置的回调地址完全一致，不能有端口错配、http/https协议错写、字符串前后带空格的问题
• 沙箱环境默认只允许回环地址的http回调，如果应用实际访问域名不是localhost，需要手动把对应地址加进重定向白名单

ASP.NET Core 应用侧 OIDC 配置校验 #

• 检查认证服务注册环节的参数匹配度：
  • ClientId、ClientSecret必须和FusionAuth控制台生成的对应值完全一致，不要有大小写错配、复制时截断字符串的问题
  • Authority值要和沙箱实例的访问域名完全匹配，结尾不要多带斜杠，不然OIDC中间件没法正确拉取公开签名密钥的元数据，回调时直接抛校验异常
  • 确认中间件配置的CallbackPath值是/signin-oidc，没有被其他页面路由、自定义中间件规则拦截
• 核对令牌校验规则：
  • 沙箱环境默认用RS256算法签发ID Token，别在自定义令牌校验参数里强制指定HS256算法，不然签名校验会直接失败
  • 必须开启SaveTokens = true配置，不然回调流程没法持久化身份令牌，会直接抛异常
  • 本地开发场景如果没配HTTPS端点，要把RequireHttpsMetadata设为false，不然中间件会强制拉取HTTPS协议的元数据，拉取失败就会在回调环节报错

本地开发环境额外排查 #

• 确认应用实际监听端口就是配置的5000端口，别因为启动参数改了端口，导致回调请求根本路由不到认证中间件
• 如果应用加了跨域规则、反向代理转发，要确认请求转发后的实际回调地址和FusionAuth白名单里的地址一致，不然会触发受众校验失败
• 检查应用的数据保护配置：本地开发如果重启后密钥丢了，会导致OIDC流程存在本地存储的登录状态被篡改，触发回调异常，要把数据保护密钥持久化到本地固定路径，别让临时密钥被系统清理

内容的提问来源于stack exchange，提问作者Lali