Asp.Net Core应用权限受限跳转时出现查询字符串过长错误

这个问题我之前也碰到过，核心原因一般是授权失败后的重定向循环导致ReturnUrl参数被反复叠加，最终超出了浏览器允许的查询字符串长度。咱们一步步来排查和解决：

当非管理员用户访问受[Authorize(Roles="Admin")]保护的页面时，ASP.NET Core Identity会自动重定向到你配置的「访问被拒绝」页面，同时把用户原本要访问的URL作为ReturnUrl参数附加在查询字符串里。但如果你的「访问被拒绝」页面本身也被设置了管理员权限要求，或者存在其他重定向规则导致用户再次被拦截，就会形成循环：每次重定向都会把当前的URL（包含之前的ReturnUrl）作为新的ReturnUrl，参数层层嵌套，最终查询字符串长得离谱，触发浏览器的报错。

1. 检查「访问被拒绝」页面的授权配置 #

这是最常见的问题。确保你的AccessDenied页面（默认路径是/Account/AccessDenied）没有被添加任何需要管理员权限的[Authorize]特性，甚至应该允许匿名用户访问（如果需要的话）。比如你的控制器方法应该是这样的：

public class AccountController : Controller
{
    // 这里不要加[Authorize(Roles = "Admin")]！
    public IActionResult AccessDenied(string returnUrl = null)
    {
        ViewData["ReturnUrl"] = returnUrl;
        return View();
    }
}

如果这个页面被错误地加上了管理员授权，用户访问它时会再次被拦截，进而触发新一轮重定向，形成循环。

2. 确认Identity的AccessDeniedPath配置正确 #

在你的Program.cs（.NET 6+）或者Startup.cs（.NET 5及更早）里，确保你正确配置了Identity的Cookie选项，指定的AccessDeniedPath指向的是刚才那个无权限限制的页面：

builder.Services.ConfigureApplicationCookie(options =>
{
    // 登录路径配置
    options.LoginPath = "/Account/Login";
    // 关键：指定正确的访问被拒绝路径
    options.AccessDeniedPath = "/Account/AccessDenied";
    // 其他Cookie相关配置...
});

如果这里配置的路径不对，或者对应的页面不存在，也可能导致异常的重定向行为。

3. 排查是否存在其他重定向循环诱因 #

• 检查你是否有自定义的授权中间件、URL重写规则，或者第三方组件（比如某些安全插件），这些可能会在用户访问AccessDenied页面时再次触发重定向。
• 打开浏览器的开发者工具（F12），切换到「网络」标签，然后重现问题，观察重定向的链条：如果看到多次指向/Account/AccessDenied的请求，说明确实存在循环，顺着这个链条找哪一步的授权规则出了问题。

4. 可选：限制ReturnUrl的长度或处理逻辑 #

如果你确实需要在AccessDenied页面保留ReturnUrl，但担心过长，可以在控制器方法里对参数做处理：比如只提取基础路径，或者直接忽略这个参数（如果不需要引导用户返回原页面的话）：

public IActionResult AccessDenied(string returnUrl = null)
{
    // 只保留基础路径，去掉多余参数
    if (!string.IsNullOrEmpty(returnUrl))
    {
        var uri = new Uri(returnUrl, UriKind.RelativeOrAbsolute);
        ViewData["CleanReturnUrl"] = uri.AbsolutePath;
    }
    return View();
}

在IIS Express环境下，偶尔会因为URL编码的重复叠加加剧这个问题，但核心还是授权配置的循环。只要解决了AccessDenied页面的权限问题，这个报错基本就能消失。

内容的提问来源于stack exchange，提问作者Matthew Bishop