Asp.Net Core 2.0默认Razor Pages应用Azure AD认证问题咨询

咱们先结合你给出的代码背景，逐个解答你的问题：

一、AccountController.SignIn方法的逻辑问题与优化 #

首先要明确：你的全局Authorize过滤器会自动给未标记[AllowAnonymous]的控制器方法加上认证要求。所以现在的SignIn方法其实是只有未认证用户请求时，会先被过滤器拦截跳转到登录页，登录完成后才会进入方法体内——这时候用户已经是认证状态了，返回ChallengeResult确实完全没有意义，因为用户已经通过了Azure AD的认证。

针对这个问题，有两个非常合理的优化方向：

• 方向1：给SignIn添加[AllowAnonymous]并增加认证判断
  这是最规范的做法，因为登录入口本身就应该允许匿名访问。修改后的代码可以这样写：

  [HttpGet]
  [AllowAnonymous] // 关键：允许匿名访问这个方法
  public IActionResult SignIn()
  {
      // 如果用户已经认证，直接跳转到首页
      if (User.Identity.IsAuthenticated)
      {
          return RedirectToPage("/Index");
      }
      // 未认证的话，触发Azure AD登录流程
      var redirectUrl = Url.Page("/Index");
      return Challenge(
          new AuthenticationProperties { RedirectUri = redirectUrl },
          OpenIdConnectDefaults.AuthenticationScheme);
  }
  

  这样不管用户是已认证还是未认证，访问/account/signin都能得到合理的响应：已认证用户直接回首页，未认证用户触发登录。

• 方向2：直接移除SignIn方法
  因为你已经全局启用了Authorize过滤器，任何未认证用户访问受保护页面都会自动跳转到Azure AD登录页，登录完成后会回到原请求页面。这种情况下，SignIn方法其实是冗余的——用户根本不需要显式请求/account/signin，全局过滤器已经帮你处理了自动跳转逻辑。

二、登录后立即执行代码的正确位置 #

你说得没错，AccountController.SignIn只有显式请求才会触发，完全不适合处理登录后的自动执行逻辑。正确的做法是挂钩OpenID Connect的事件处理程序，其中最常用的是OnTokenValidated事件——它会在用户成功登录、令牌验证通过后立即触发，此时用户的身份信息已经完全可用。

你可以在ConfigureServices中扩展AddAzureAd的配置，或者直接手动配置AddOpenIdConnect来注册事件：

services.AddAuthentication(sharedOptions =>
{
    sharedOptions.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    sharedOptions.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddAzureAd(options => Configuration.Bind("AzureAd", options))
.AddCookie()
// 补充OpenID Connect的事件配置
.AddOpenIdConnect(options =>
{
    // 复用Azure AD配置项
    options.ClientId = Configuration["AzureAd:ClientId"];
    options.Authority = $"{Configuration["AzureAd:Authority"]}{Configuration["AzureAd:TenantId"]}/";
    options.CallbackPath = Configuration["AzureAd:CallbackPath"];

    options.Events = new OpenIdConnectEvents
    {
        OnTokenValidated = context =>
        {
            // 这里写你要在登录后立即执行的代码
            // 比如：记录登录日志、初始化用户个人数据、获取额外的用户信息等
            var userName = context.Principal.FindFirst(ClaimTypes.Name)?.Value;
            // 示例：输出登录日志（需要注入ILogger）
            // _logger.LogInformation($"用户 {userName} 于 {DateTime.Now} 成功登录");
            
            return Task.CompletedTask;
        }
    };
});

如果你的项目中AddAzureAd已经封装了大部分OpenID Connect配置，也可以直接在AddAzureAd的选项里找到事件注册的入口，本质上是一样的。

另外补充：如果你需要处理授权码相关的逻辑（比如获取访问令牌调用其他Microsoft API），可以使用OnAuthorizationCodeReceived事件；而OnTokenValidated更适合处理用户身份相关的初始化逻辑，因为此时ClaimsPrincipal已经完全构建完成。

内容的提问来源于stack exchange，提问作者synergetic