Facebook登录将不再允许Return URL参数？ASP.Net MVC5应用适配问询

嘿，这个问题我之前帮好几个开发者解决过，Facebook的这个政策调整确实坑了不少用ASP.NET MVC5做OAuth登录的人。别慌，咱们一步步来搞定它：

核心问题很明确：Facebook现在要求OAuth重定向URI必须完全匹配你在开发者后台配置的地址，不能带任何额外参数（比如原来的ReturnURL）。原来把跳转目标通过URL参数传给Facebook的路子走不通了，咱们换个思路——把ReturnURL存在用户的Session里，而非暴露在跳转URL中。

步骤1：修改Facebook登录的触发逻辑 #

原来你可能直接用ChallengeResult跳转到Facebook，现在要先把ReturnURL存进Session，再发起登录挑战：

在你的AccountController里，找到处理第三方登录的ExternalLogin方法，修改成这样：

[AllowAnonymous]
public ActionResult ExternalLogin(string provider, string returnUrl)
{
    // 先把要返回的地址存到Session里，后续回调时用
    Session["LoginReturnUrl"] = returnUrl;
    // 发起OAuth挑战，这里不再传递returnUrl参数
    return new ChallengeResult(provider, Url.Action("ExternalLoginCallback", "Account"));
}

步骤2：调整回调Action，从Session取ReturnURL #

接下来在ExternalLoginCallback方法里，登录成功后从Session取出之前存的地址，替代原来从请求参数拿的逻辑：

[AllowAnonymous]
public async Task<ActionResult> ExternalLoginCallback(string returnUrl)
{
    // 优先从Session取ReturnURL，没有的话再用传入的参数（兼容特殊场景）
    var actualReturnUrl = Session["LoginReturnUrl"] as string ?? returnUrl;
    // 用完记得清空Session，避免残留数据影响后续登录
    Session.Remove("LoginReturnUrl");

    // 下面是你原来的登录验证逻辑，不用大改
    var loginInfo = await AuthenticationManager.GetExternalLoginInfoAsync();
    if (loginInfo == null)
    {
        return RedirectToAction("Login");
    }

    var result = await SignInManager.ExternalSignInAsync(loginInfo, isPersistent: false);
    switch (result)
    {
        case SignInStatus.Success:
            // 跳转到之前存好的目标页面，或者默认首页
            return RedirectToLocal(actualReturnUrl);
        case SignInStatus.LockedOut:
            return View("Lockout");
        case SignInStatus.RequiresVerification:
            return RedirectToAction("SendCode", new { ReturnUrl = actualReturnUrl, RememberMe = false });
        case SignInStatus.Failure:
        default:
            // 若用户未注册，引导完成注册流程
            ViewBag.ReturnUrl = actualReturnUrl;
            ViewBag.LoginProvider = loginInfo.Login.LoginProvider;
            return View("ExternalLoginConfirmation", new ExternalLoginConfirmationViewModel { Email = loginInfo.Email });
    }
}

步骤3：更新Facebook开发者后台的重定向URI #

一定要去Facebook开发者后台的OAuth设置里，把回调地址改成完全匹配的无参数版本，比如：

正确配置：https://你的域名/Account/ExternalLoginCallback
错误配置：https://你的域名/Account/ExternalLoginCallback?ReturnUrl=/SomePage

额外注意事项 #

• 如果你的应用是多服务器部署，要确保Session能跨服务器共享（比如用Redis或SQL Server存储Session），不然用户跳转回来后Session里的ReturnURL会丢失。
• 测试时务必走完整流程：访问需要登录的页面→跳转到登录页→点击Facebook登录→验证成功后是否正确跳回原页面。

这样调整后，既避开了Facebook的参数限制，又完美保留了原来的ReturnURL跳转功能。

内容的提问来源于stack exchange，提问作者runxc1 Bret Ferrier