使用AuthorizeAttribute时邮件跳转后returnUrl为空，登录后无法正确跳转

我之前也碰到过一模一样的坑！咱们一步步拆解问题，找到根源和解决办法：

一、先检查邮件链接的构造是否正确 #

这是最容易踩的点：你生成邮件链接时，有没有对目标URL做URL编码？

比如你要跳转的目标页面是/User/Profile/123，直接拼到登录链接里会变成https://yourapp.com/Login?returnUrl=/User/Profile/123，看起来没问题，但如果目标URL里有特殊字符（比如?、&），或者服务器的URL解析规则比较严格，就会导致returnUrl被截断，最终传到登录页面时变成空值。

正确的做法是对目标URL进行编码，用C#的话可以用Uri.EscapeDataString()或者HttpUtility.UrlEncode()：

// 目标页面URL
var targetPage = "/User/Profile?userId=123";
// 对目标URL编码
var encodedReturnUrl = Uri.EscapeDataString(targetPage);
// 构造完整的登录链接
var loginLink = $"https://yourapp.com/Login?returnUrl={encodedReturnUrl}";

生成邮件时用这个loginLink，点击后登录页面的URL里就能正确带上returnUrl参数了。

二、确保登录表单传递了returnUrl参数 #

就算登录页面的URL里有returnUrl，如果登录表单没把这个参数传给后端控制器，那控制器拿到的还是空值。

你需要在登录表单里加一个隐藏字段，把URL里的returnUrl值传进去：

<form method="post" asp-action="Login">
    <!-- 用户名、密码输入框 -->
    <div class="form-group">
        <label>用户名</label>
        <input type="text" name="Email" class="form-control" />
    </div>
    <div class="form-group">
        <label>密码</label>
        <input type="password" name="Password" class="form-control" />
    </div>
    <!-- 关键：隐藏字段传递returnUrl -->
    <input type="hidden" name="returnUrl" value="@Request.Query["returnUrl"]" />
    <button type="submit" class="btn btn-primary">登录</button>
</form>

提交表单时，这个隐藏字段会把returnUrl的值一起发给Login控制器。

三、检查AuthorizeAttribute的重定向逻辑 #

如果你是用[Authorize]特性触发的重定向，那要确认自定义的AuthorizeAttribute（如果有的话）有没有正确携带returnUrl。

默认的[Authorize]特性会自动把当前请求的URL作为returnUrl附加到登录链接后面，但如果是你自己写的自定义AuthorizeAttribute，一定要确保重定向时带上这个参数：

public class CustomAuthorizeAttribute : AuthorizeAttribute
{
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        if (!filterContext.HttpContext.User.Identity.IsAuthenticated)
        {
            // 获取当前请求的URL，编码后作为returnUrl
            var returnUrl = HttpUtility.UrlEncode(filterContext.HttpContext.Request.Url.PathAndQuery);
            filterContext.Result = new RedirectResult($"/Login?returnUrl={returnUrl}");
        }
        else
        {
            base.HandleUnauthorizedRequest(filterContext);
        }
    }
}

四、Login控制器正确处理returnUrl #

最后一步，控制器里要正确接收并验证returnUrl，还要注意防止开放重定向攻击（这是ASP.NET的安全要求）：

[HttpPost]
public async Task<IActionResult> Login(LoginViewModel model, string returnUrl = null)
{
    if (ModelState.IsValid)
    {
        // 验证用户凭据的逻辑
        var result = await _signInManager.PasswordSignInAsync(
            model.Email, 
            model.Password, 
            model.RememberMe, 
            lockoutOnFailure: false
        );

        if (result.Succeeded)
        {
            // 先验证returnUrl是否是本地URL，避免恶意跳转
            if (!string.IsNullOrEmpty(returnUrl) && Url.IsLocalUrl(returnUrl))
            {
                return Redirect(returnUrl);
            }
            else
            {
                // 如果returnUrl无效或者为空，跳转到默认首页
                return RedirectToAction("Index", "Home");
            }
        }

        // 登录失败，添加错误信息
        ModelState.AddModelError(string.Empty, "用户名或密码错误");
    }

    // 登录失败返回登录页面，同时保留returnUrl
    ViewData["returnUrl"] = returnUrl;
    return View(model);
}

快速排查小技巧 #

用浏览器F12开发者工具走一遍流程：

1. 点击邮件链接，看地址栏里的URL是否包含returnUrl参数，值是否正确；
2. 登录页面加载后，查看页面源码，确认隐藏字段的value是否和地址栏里的returnUrl一致；
3. 提交登录表单时，看Network面板里的请求参数，是否包含returnUrl；
4. 后端调试时，看Login控制器的returnUrl参数是否有值。

这样一步步排查，很快就能找到哪里出问题了！

内容的提问来源于stack exchange，提问作者gene