IdentityServer4集成SustainSys.SAML后ExternalLoginCallback丢失客户端重定向

我之前也踩过这个一模一样的坑！SustainSys.SAML在和IdentityServer4配合时，很容易因为状态参数传递不到位，导致从第三方IDP（比如你用的stubidp.sustainsys.com）跳转回来后，原本的客户端重定向信息（也就是授权请求里的returnUrl）丢失。咱们一步步来排查修复：

核心问题根源 #

IdentityServer4的授权流程会生成一个包含客户端重定向信息的状态，但是当发起SAML外部登录挑战时，如果没做特殊配置，SustainSys.SAML中间件会生成自己的RelayState，覆盖掉IdentityServer原本的状态，导致回调时无法找回原始的重定向地址。

具体修复步骤 #

1. 确保SAML中间件正确保留状态数据 #

在配置SAML服务的时候，一定要指定RelayDataProtectionProvider，让中间件用IdentityServer的数据保护机制来加密保存状态，避免丢失：

services.AddSaml2(options =>
{
    // 你的SP和IDP配置（比如实体ID、元数据地址等）...
    
    // 关键配置：用IdentityServer的DataProtectionProvider来处理状态
    options.SPOptions.RelayDataProtectionProvider = services.BuildServiceProvider().GetRequiredService<IDataProtectionProvider>();
    // 确认RelayState处理模式为Save（默认就是，但显式写更稳妥）
    options.SPOptions.RelayStateHandling = RelayStateHandling.Save;
})
.AddSaml2Metadata();

2. 发起外部登录时，显式保存原始returnUrl #

在AccountController的ExternalLogin方法里，除了配置标准的认证属性，还要把原始的returnUrl存入AuthenticationProperties的Items中，做双重保险：

public IActionResult ExternalLogin(string provider, string returnUrl = null)
{
    var redirectUrl = Url.Action(nameof(ExternalLoginCallback), "Account", new { returnUrl });
    var properties = _signInManager.ConfigureExternalAuthenticationProperties(provider, redirectUrl);
    
    // 显式把原始returnUrl存入属性，防止跳转后丢失
    properties.Items["OriginalReturnUrl"] = returnUrl;
    
    return Challenge(properties, provider);
}

3. 在ExternalLoginCallback中恢复原始重定向信息 #

回调方法里，不要直接依赖URL参数里的returnUrl，而是从外部认证的属性中取出我们之前保存的地址：

public async Task<IActionResult> ExternalLoginCallback(string returnUrl = null, string remoteError = null)
{
    // 先从外部认证的属性里获取保存的原始returnUrl
    var authResult = await HttpContext.AuthenticateAsync(IdentityConstants.ExternalScheme);
    string originalReturnUrl = null;
    if (authResult.Succeeded && authResult.Properties.Items.TryGetValue("OriginalReturnUrl", out var savedUrl))
    {
        originalReturnUrl = savedUrl;
    }
    // fallback到URL参数的returnUrl
    var targetUrl = originalReturnUrl ?? returnUrl ?? Url.Content("~/");

    // 下面是常规的外部登录处理逻辑
    if (remoteError != null)
    {
        ModelState.AddModelError(string.Empty, $"外部登录错误: {remoteError}");
        return View(nameof(Login));
    }

    var info = await _signInManager.GetExternalLoginInfoAsync();
    if (info == null)
    {
        return RedirectToAction(nameof(Login));
    }

    // 验证外部登录凭证、创建用户或关联登录...
    var result = await _signInManager.ExternalLoginSignInAsync(info.LoginProvider, info.ProviderKey, isPersistent: false, bypassTwoFactor: true);
    if (result.Succeeded)
    {
        // 跳转到原始的客户端重定向地址
        return Redirect(targetUrl);
    }
    // 其他逻辑（比如用户不存在时引导注册）...
}

额外检查点 #

• 确认你的SAML IDP（stubidp.sustainsys.com）没有修改或丢弃RelayState参数，这个是SAML规范要求必须原样返回的，一般官方测试IDP不会有问题，但可以抓包确认。
• 如果你用的是较新版本的SustainSys.SAML，要确保中间件和IdentityServer4的版本兼容性，避免因为版本差异导致状态处理异常。

这样调整后，从第三方IDP跳转回来时，原始的客户端重定向信息就能被正确找回，不会丢失了。

内容的提问来源于stack exchange，提问作者stoneMaster