ASP.NET Core应用添加Entra ID可选SSO登录报错及用户映射咨询

• 报错的核心原因并非DataProtector实现问题，手动拼接授权URL的操作完全破坏了OpenID Connect中间件的状态校验流程。
• 框架默认处理OpenID Connect流程时，会在生成授权跳转地址时自动生成加密的state、nonce值，这些值会与当前请求的临时Auth状态绑定；待Entra ID回调到/signin-oidc接口时，中间件会解密收到的state值，与存储的临时状态比对，校验请求是否被篡改。
• 手动拼接URL时直接将state、nonce替换为占位符，完全没有走框架的状态生成逻辑，回调时中间件拿到的是未经过框架加密的无意义字符串，自然会抛出无法解密的报错。
• 自行编写的无实际加密逻辑的MyDataProtector属于错误的临时兜底方案，不仅没有解决流程不匹配的问题，还破坏了框架默认的状态加密安全机制。

1. 移除冗余的自定义保护器代码 #

删除Startup.cs中的以下配置：

options.StateDataFormat = new PropertiesDataFormat(new MyDataProtector());
options.StringDataFormat = new SecureDataFormat<string>(new StringSerializer(),new MyDataProtector());

同时删除项目中的MyDataProtector、StringSerializer两个类，框架默认的DataProtection机制完全可以满足OpenID Connect的状态加密需求，不需要自定义实现。

2. 放弃手动拼接授权URL，改用框架自带的Challenge逻辑触发SSO跳转 #

完全不需要手动拼接Entra ID的授权地址，只需要在SSO登录按钮对应的后端Action中，直接指定OpenIdConnect scheme触发认证挑战即可。示例代码：

public IActionResult SsoLogin()
{
    // 触发OpenIdConnect scheme的认证流程，框架会自动生成带合法state、nonce的跳转地址
    return Challenge(
        authenticationScheme: OpenIdConnectDefaults.AuthenticationScheme,
        properties: new AuthenticationProperties
        {
            // 配置认证成功后的默认跳转地址
            RedirectUri = Url.Action("Index", "Home")
        });
}

该方式下框架会自动完成全流程：

• 自动生成加密的state、nonce参数
• 自动拼接格式正确的Entra ID授权URL
• 自动在回调时校验状态有效性，不会再出现解密报错
  原有的默认Cookie认证Scheme配置不需要修改，本地登录逻辑会继续作为默认流程运行，完全不需要将OpenIdConnect设为全局默认挑战Scheme。

3. 拦截SSO认证结果，完成本地用户账号映射 #

在AddOpenIdConnect的配置中绑定OnTicketReceived事件，该事件会在Entra ID回调完成、所有身份Claims加载完成后触发，是做账号映射的最佳位置。示例配置：

.AddOpenIdConnect(options =>
{
    // 保留原有业务配置，补充事件绑定逻辑
    options.Events = new OpenIdConnectEvents
    {
        OnTicketReceived = async context =>
        {
            // 从SSO返回的Claims中获取用户邮箱标识
            var ssoEmail = context.Principal.FindFirst("preferred_username")?.Value 
                           ?? context.Principal.FindFirst("email")?.Value;
            
            // 在此处实现自定义本地账号映射逻辑：
            // 1. 根据获取到的邮箱匹配本地用户表
            // 2. 匹配成功后可将当前上下文的Principal替换为本地用户的身份信息
            // 3. 未匹配到时可选择自动创建账号或提示用户绑定
            
            // 映射完成后配置本地Cookie认证规则
            context.ReturnUri = "/Home/Index";
            context.Properties.IsPersistent = true;
        }
    };
});

该阶段不需要处理OpenID Connect的底层验证流程，中间件已经完成了id_token校验、用户信息拉取等工作，仅需提取对应Claims完成账号匹配即可。

• 保持DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme的原有配置即可，SSO登录属于按需触发的可选流程，不需要设置全局默认挑战Scheme。
• 确认Entra ID应用注册中的重定向URI与配置的CallbackPath完全匹配，避免出现回调地址不匹配的报错。

内容的提问来源于stack exchange，提问作者chilluk