当然有完美的方案！你完全可以借助OAuth2协议原生支持的state参数来实现这个需求——这也是这类场景的标准做法，既不需要Cookie也不用ViewBag，完全符合你的要求。

核心思路 #

OAuth2的state参数原本是用来防止CSRF攻击的，同时它的设计允许客户端传递自定义的状态信息。Facebook的OAuth流程会原封不动地把你传入的state值返回给回调地址，所以我们可以把自定义的parameter加密后塞进state里，回调时再解密取出即可。

具体实现步骤 #

1. 在Register方法中生成带自定义参数的加密state

首先，你需要注入IDataProtectionProvider来加密自定义参数（避免参数在URL里被篡改或泄露），然后在跳转到Facebook登录时，把加密后的参数和默认的返回地址一起塞进state中。

private readonly IDataProtectionProvider _dataProtectionProvider;

// 构造函数注入IDataProtectionProvider
public YourController(IDataProtectionProvider dataProtectionProvider)
{
    _dataProtectionProvider = dataProtectionProvider;
}

public IActionResult Register(string parameter)
{
    // 1. 创建要传递的状态信息，包含自定义参数和返回地址
    var stateDict = new Dictionary<string, string>
    {
        ["returnUrl"] = Url.Action("ExternalLogin"), // 或者你需要的返回地址
        ["customParameter"] = parameter
    };

    // 2. 序列化字典为字符串，然后加密
    var stateString = QueryHelpers.AddQueryString(string.Empty, stateDict);
    var protector = _dataProtectionProvider.CreateProtector("Microsoft.AspNetCore.Authentication.OAuth");
    var encryptedState = protector.Protect(stateString);

    // 3. 发起Facebook登录挑战，传入自定义state
    var properties = new AuthenticationProperties
    {
        RedirectUri = Url.Action("ExternalLogin"),
        Items = { ["LoginProvider"] = "Facebook" }
    };
    properties.SetParameter("state", encryptedState); // 把加密后的state传入

    return Challenge(properties, "Facebook");
}

2. 在ExternalLogin回调中解密state并获取自定义参数

在回调方法里，我们从请求中拿到返回的state值，解密后解析出我们的自定义参数。

public async Task<IActionResult> ExternalLogin(string provider, string returnUrl = null)
{
    // 1. 获取回调中的state参数
    var state = Request.Query["state"].ToString();
    if (string.IsNullOrEmpty(state))
    {
        return BadRequest("State参数缺失");
    }

    // 2. 解密state
    var protector = _dataProtectionProvider.CreateProtector("Microsoft.AspNetCore.Authentication.OAuth");
    var decryptedState = protector.Unprotect(state);
    
    // 3. 解析解密后的字符串，获取自定义参数
    var stateDict = QueryHelpers.ParseQuery(decryptedState);
    var customParameter = stateDict["customParameter"].ToString();

    // 接下来你就可以使用customParameter做后续逻辑了...

    // 下面是常规的外部登录处理逻辑（示例）
    var info = await _signInManager.GetExternalLoginInfoAsync();
    if (info == null)
    {
        return RedirectToAction(nameof(Login));
    }

    // ... 其他登录逻辑
}

注意事项 #

• 确保CreateProtector的参数（即保护目的字符串）在加密和解密时完全一致，否则会解密失败。这里用"Microsoft.AspNetCore.Authentication.OAuth"是和框架默认的OAuth保护目的对齐，你也可以用自定义的字符串。
• 如果你的returnUrl本身就有查询参数，记得在拼接时处理好，避免冲突。
• Facebook的OAuth流程对state参数的长度有一定限制，所以不要传递过大的数据，字符串类型的短参数完全没问题。

这个方案完全符合你的场景：从Register接收参数，传递给Facebook登录，回调后在ExternalLogin中取回，全程不用Cookie或ViewBag。

内容的提问来源于stack exchange，提问作者Vito Spa