Identity认证问题：ReturnUrl参数重复导致URI过长崩溃

嘿，我之前开发时也踩过这个一模一样的坑！这种ReturnUrl反复嵌套导致URI超长崩溃的情况，本质是循环重定向在搞鬼——当未授权用户访问受限资源时，Identity会自动重定向到登录页，但如果你的登录页本身也被设置了授权要求，就会陷入无限循环：每次重定向都把当前的登录URL作为ReturnUrl带过去，经过多次URL编码后，就变成了你看到的那种无限嵌套的超长参数。

下面是我亲测有效的解决步骤：

• 第一步：确保登录/注册页面允许匿名访问
  这是最常见的问题根源。你需要在登录控制器或者对应的Action上添加[AllowAnonymous]属性，明确告诉Identity这些页面不需要授权就能访问：

  [AllowAnonymous]
  public class LoginController : Controller
  {
      public ActionResult Index(string returnUrl)
      {
          ViewBag.ReturnUrl = returnUrl;
          return View();
      }
  
      // 登录提交的Action也要加AllowAnonymous
      [HttpPost]
      [AllowAnonymous]
      public async Task<ActionResult> Index(LoginViewModel model, string returnUrl)
      {
          // 登录逻辑...
      }
  }
  

• 第二步：检查OWIN认证中间件的配置
  确认UseCookieAuthentication里的LoginPath指向的是正确的、允许匿名的登录页面，路径千万不能写错（比如大小写、斜杠位置）：

  public void Configuration(IAppBuilder app)
  {
      app.UseCookieAuthentication(new CookieAuthenticationOptions
      {
          AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
          // 这里的路径要和你的登录页路由完全匹配
          LoginPath = new PathString("/Login/Index"),
          Provider = new CookieAuthenticationProvider()
      });
  }
  

• 第三步：排查全局授权过滤器
  如果你在全局注册了[Authorize]过滤器（比如在Global.asax的RegisterGlobalFilters方法里），一定要把登录相关的控制器排除在外，不然会强制所有页面都需要授权，包括登录页：

  public static void RegisterGlobalFilters(GlobalFilterCollection filters)
  {
      // 全局添加授权过滤器
      filters.Add(new AuthorizeAttribute());
      // 排除登录控制器，允许匿名访问
      filters.Add(new AllowAnonymousAttribute(), typeof(LoginController));
  }
  

• 第四步：安全处理ReturnUrl（可选但推荐）
  在登录成功后跳转时，记得验证ReturnUrl是否为本地URL，既可以防止开放重定向攻击，也能避免一些异常的跳转情况：

  [HttpPost]
  [AllowAnonymous]
  public async Task<ActionResult> Index(LoginViewModel model, string returnUrl)
  {
      if (ModelState.IsValid)
      {
          // 验证用户身份的逻辑...
          var result = await SignInManager.PasswordSignInAsync(model.Email, model.Password, model.RememberMe, shouldLockout: false);
          switch (result)
          {
              case SignInStatus.Success:
                  // 验证ReturnUrl是否为本地URL
                  if (Url.IsLocalUrl(returnUrl) && !string.IsNullOrEmpty(returnUrl))
                  {
                      return Redirect(returnUrl);
                  }
                  else
                  {
                      // 默认跳转到首页
                      return RedirectToAction("Index", "Home");
                  }
              // 其他情况处理...
          }
      }
      // 验证失败，返回登录页
      return View(model);
  }
  

只要解决了登录页的授权问题，打破循环重定向的链条，ReturnUrl嵌套的问题就会彻底消失啦！

内容的提问来源于stack exchange，提问作者Lucas Tambarin