能否向外部登录提供商/自定义OWIN中间件发送自定义参数？

嘿，我之前在Identity Server 3项目里踩过一模一样的坑——acr_values压根就不是用来传长Token的！毕竟它是拼在URL里的，浏览器和服务器都有URL长度限制，900字符已经快摸到很多环境的临界值了，而且Identity Server对acr_values的解析逻辑本来就偏向处理短的配置参数，不是大 payload。给你几个经过实践验证的解决方案：

这是处理长内容跨服务传递最稳妥的方式，核心思路是把长Token暂存起来，只传一个短的引用ID：

• 在跳转去外部身份提供商之前，把长Token存入临时存储（比如Redis、内存缓存，一定要设置短过期时间，比如5分钟，避免冗余数据堆积）
• 生成一个唯一的引用ID（比如GUID），把这个ID通过acr_values传递给外部提供商
• 外部提供商拿到ID后，从临时存储中取出对应的Token完成认证
• 记得定期清理临时存储里的过期数据，或者用自带过期机制的存储（比如Redis的过期键）

示例代码（C#伪代码，适配Identity Server 3的流程）：

// 跳转前处理Token存储
var authToken = "你的超长认证Token内容";
var refId = Guid.NewGuid().ToString();

// 用Redis存储，设置5分钟过期
_redisCache.SetString(
    refId, 
    authToken, 
    new DistributedCacheEntryOptions { AbsoluteExpirationRelativeToNow = TimeSpan.FromMinutes(5) }
);

// 构造acr_values，传递引用ID
var acrValues = $"external_token_ref:{refId}";

// 发起向Identity Server的认证跳转
return RedirectToAction("Login", "Account", new { acr_values = acrValues });

Identity Server 3默认的登录跳转是GET请求，但你可以自定义外部身份提供商的认证流程，换成POST来绕过URL长度限制：

• 自定义外部身份提供商的中间件，让它的认证端点支持接收POST请求的Token参数
• 在Identity Server的登录选择页面，当用户选中该外部提供商时，生成一个隐藏表单，用POST方式提交到外部提供商的认证端点，把Token放在表单的隐藏字段里
• POST请求的payload大小限制比URL宽松得多，完全能容纳900+字符的Token

如果这个Token是你们自己生成的，可以先试试压缩体积：

• 检查Token里的字段，去掉不必要的冗余信息（比如重复的用户属性、非必需的元数据）
• 对Token进行压缩（比如先用Gzip压缩字节流，再Base64编码，注意要和外部提供商协商好解码逻辑）
• 换成更紧凑的Token格式（比如从冗余的JWT换成自定义的二进制格式，当然这需要双方同步修改）

额外注意事项 #

不管用哪种方案，都要保证Token的传输和存储安全：

• 全程使用HTTPS，避免明文泄露
• 临时存储的Token要加密存储，防止被非法获取
• 引用ID要足够随机（比如GUID），避免被猜测伪造

内容的提问来源于stack exchange，提问作者Florian K