使用OpenID Connect 3认证MVC应用时出现无限重定向循环问题

这种无限循环的坑我之前踩过好几次，也帮不少开发者排查过——本质上就是MVC站点没正确接收到IdentityServer返回的认证凭证，导致一直认为用户未登录，反复触发重定向。咱们一步步来排查：

1. 先确认回调地址的一致性 #

这是最常见的问题！你得确保：

• MVC站点配置的RedirectUri（一般是https://你的MVC域名/signin-oidc）和IdentityServer中对应客户端的RedirectUris列表完全一致，连http/https、端口、斜杠都不能错。比如你MVC用的是http://localhost:5000/signin-oidc，IdentityServer里就不能写成http://localhost:5000/signin-oidc/（多了末尾斜杠）或者https开头。
• IdentityServer的客户端配置必须把这个回调地址加入允许列表，否则IdentityServer会直接拒绝回调请求，MVC拿不到认证结果，自然会重新发起挑战。

2. 检查MVC认证中间件的配置顺序与参数 #

MVC的Startup里，认证中间件的配置错一点就会出问题：

• 首先要确保UseAuthentication()在UseAuthorization()和路由配置之前，顺序不对的话，授权逻辑会先于认证执行，导致判断用户未登录。
• 然后看AddOpenIdConnect的核心参数是否正确：

  services.AddAuthentication(options =>
  {
      options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
      options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
  })
  .AddCookie() // 必须添加Cookie认证，OIDC依赖它存储用户会话
  .AddOpenIdConnect(options =>
  {
      options.Authority = "https://你的IdentityServer地址"; // 要和IdentityServer的基地址完全一致
      options.ClientId = "你的MVC客户端ID"; // 和IdentityServer里的客户端ID完全匹配
      options.ClientSecret = "你的客户端密钥"; // 机密客户端必须填，和IdentityServer配置一致
      options.ResponseType = "code"; // 推荐用授权码流程，别用隐式流程（容易出问题）
      options.SaveTokens = true; // 保存令牌到Cookie，方便后续调用API
      options.GetClaimsFromUserInfoEndpoint = true; // 从UserInfo端点获取用户Claims，避免Claims缺失
  });
  

  如果你是本地开发用HTTP，记得加上options.RequireHttpsMetadata = false（生产环境一定要用HTTPS！）。

3. 验证IdentityServer的客户端配置 #

IdentityServer这边的客户端配置也不能马虎：

• AllowedGrantTypes必须包含authorization_code（如果你用的是授权码流程，这是MVC站点的标准流程）。
• AllowedScopes要包含openid、profile这些核心Scope——缺少这些的话，IdentityServer不会返回必要的用户身份信息，MVC无法建立有效的认证会话。
• 如果是机密客户端，RequireClientSecret要设为true，并且客户端密钥要和MVC配置的完全一致。

4. 排查Cookie与会话问题 #

有时候认证流程没问题，但Cookie的配置导致会话无法持久化：

• 如果IdentityServer和MVC站点是不同域名/子域，要确保MVC的Cookie配置了正确的CookieDomain，比如同主域下的子域可以设为".yourdomain.com"，让Cookie跨子域共享。
• 检查Cookie的过期时间，别设得太短导致刚认证就过期。
• 本地开发时，如果浏览器禁用了第三方Cookie，也可能导致会话无法保存——可以暂时允许第三方Cookie测试，生产环境建议用同域或者配置SameSite属性。

5. 开日志抓细节（最有效的排查手段） #

上面的排查都没解决的话，直接开Debug日志抓错误：

• 在MVC的OIDC配置里添加事件捕获，把认证失败的原因打印出来：

  options.Events = new OpenIdConnectEvents
  {
      OnAuthenticationFailed = context =>
      {
          // 把错误信息打印到日志，或者返回给页面
          Console.WriteLine($"认证失败: {context.Exception.Message}");
          context.Response.Redirect("/Home/Error?msg=" + context.Exception.Message);
          context.HandleResponse();
          return Task.CompletedTask;
      },
      OnRemoteFailure = context =>
      {
          Console.WriteLine($"远程认证失败: {context.Failure.Message}");
          context.Response.Redirect("/Home/Error?msg=" + context.Failure.Message);
          context.HandleResponse();
          return Task.CompletedTask;
      }
  };
  

• IdentityServer那边也把日志级别调到Debug，看有没有回调请求被拒绝的记录，比如invalid_redirect_uri、invalid_client这类错误，直接就能定位问题。

6. 检查用户Claims是否完整 #

有时候认证成功了，但MVC没拿到关键的Claims（比如NameIdentifier），导致身份验证逻辑判定用户未登录：

• 在MVC的OnTokenValidated事件里打印所有Claims，看看有没有必要的身份标识：

  options.Events = new OpenIdConnectEvents
  {
      OnTokenValidated = context =>
      {
          foreach (var claim in context.Principal.Claims)
          {
              Console.WriteLine($"{claim.Type}: {claim.Value}");
          }
          return Task.CompletedTask;
      }
  };
  

  如果缺少关键Claims，要么是IdentityServer的用户配置没返回这些Claims，要么是MVC没开启GetClaimsFromUserInfoEndpoint = true。

一般按这个流程排查，90%以上的无限循环问题都能解决。

内容的提问来源于stack exchange，提问作者Andrew Blackburn