部署MVC+AD站点遇ADSTS50011错误：回复地址不匹配

我之前帮客户处理过几乎一模一样的AD集成MVC站点问题，这个错误本质就是回复地址（Redirect URI）不匹配，咱们一步步来搞定：

问题根源 #

本地环境下web.config自动设的localhost地址，肯定是已经在AD身份提供商（比如Azure AD应用注册）的配置里添加过了，所以登录正常；但部署到测试服务器后，站点的访问地址变了，而AD那边没同步添加这个新地址，就触发了这个不匹配错误。

具体解决步骤 #

• 第一步：确认测试服务器的完整回调地址
  先搞清楚测试站点的实际访问地址，比如https://test.yourfriendssite.com，如果你的MVC用的是默认的OpenID Connect回调路径，完整地址应该是https://test.yourfriendssite.com/signin-oidc（注意区分http/https，端口也要带上，如果不是80/443的话）。
• 第二步：更新AD后台的回复地址配置
  登录AD的管理后台（比如Azure Portal的「应用注册」），找到这个MVC应用，在「认证」或者「回复地址（Redirect URIs）」设置里，把刚才确认的测试服务器完整回调地址加进去，保存配置。
• 第三步：同步修改测试服务器的web.config
  找到web.config里和AD认证相关的配置节点，把原来的localhost地址替换成测试服务器的地址，比如OpenID Connect配置中的redirectUri、postLogoutRedirectUri这些项，确保和AD里配置的完全一致。
• 第四步：优化代码避免重复踩坑（可选但推荐）
  如果你的MVC用的是OWIN中间件，别在代码里硬写回调地址，改成动态获取站点根地址的方式，比如：

  var authority = ConfigurationManager.AppSettings["ida:Authority"];
  var clientId = ConfigurationManager.AppSettings["ida:ClientId"];
  app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
  {
      ClientId = clientId,
      Authority = authority,
      RedirectUri = new Uri(new Uri(context.Request.Uri.GetLeftPart(UriPartial.Authority)), "/signin-oidc").ToString(),
      // 其他配置项...
  });
  

  这样切换环境的时候就不用手动改代码了。

额外排查要点 #

• 检查回复地址的大小写：AD的配置是区分大小写的，比如HTTPS://test...和https://test...会被当成不同地址
• 如果测试服务器有反向代理/负载均衡，要确认实际对外的地址是什么，AD里要配置代理后的地址，而不是服务器内网地址
• 可以用抓包工具（比如Fiddler）看登录请求里的redirect_uri参数，和AD里配置的对比，就能快速定位哪里不匹配

内容的提问来源于stack exchange，提问作者jimmy millican