AspNetCore OIDC认证结合PathBase配置异常问题求助

嗨，我来帮你把这个问题讲清楚哈～

当你的应用部署在网关之后并设置了PathBase = "/identity/"，OpenIdConnect认证默认的Correlation和Nonce Cookie会出现路径不匹配的问题，这也是为什么你必须手动配置这两个Cookie的路径才能正常工作的原因。

问题本质 #

浏览器的Cookie遵循路径匹配规则：只有当请求的路径包含Cookie的Path属性时，才会把该Cookie发送给服务器。默认情况下，OpenIdConnect中间件会把Correlation和Nonce Cookie的Path设为CallbackPath的根路径（也就是/aad-signin-oidc），但你的应用运行在/identity/这个PathBase下，回调请求的实际路径是/identity/aad-signin-oidc——这时候浏览器发现Cookie的Path是/aad-signin-oidc，和当前请求路径不匹配，就不会携带这些Cookie，导致服务器无法验证Correlation ID和Nonce，认证流程直接失败。

解决方案 #

有两种方式可以解决这个问题：

1. 硬编码Cookie路径（适合固定PathBase的场景）

就像你注释掉的代码那样，直接把Cookie的Path设置为包含PathBase的完整路径：

authentication.AddOpenIdConnect("AAD", "Azure Active Directory", options => { 
    // 关键：配置Cookie路径适配PathBase
    options.CorrelationCookie.Path = "/identity/aad-signin-oidc"; 
    options.NonceCookie.Path = "/identity/aad-signin-oidc"; 
    
    options.SignInScheme = IdentityServerConstants.ExternalCookieAuthenticationScheme; 
    options.SignOutScheme = IdentityServerConstants.SignoutScheme; 
    options.CallbackPath = "/aad-signin-oidc"; 
    options.Authority = "https://login.microsoftonline.com/common"; 
    options.ClientId = appRegistration.SelectToken("$.appId").ToString();
    options.Scope.Add("openid"); 
    options.Scope.Add("profile"); 
    options.TokenValidationParameters = new TokenValidationParameters { ValidateIssuer = false }; 
    options.GetClaimsFromUserInfoEndpoint = true; 
    options.Events.OnRedirectToIdentityProvider = (r) => { 
        r.ProtocolMessage.RedirectUri = r.ProtocolMessage.RedirectUri.Replace("identity//", "identity/"); 
        return Task.CompletedTask; 
    }; 
}); 

2. 动态配置Cookie路径（适配可变PathBase的场景）

如果你的PathBase可能会变化（比如不同环境部署），可以通过PostConfigure动态获取当前的PathBase来设置Cookie路径，避免硬编码：

// 在ConfigureServices中添加OpenIdConnect配置后，添加PostConfigure
services.AddOpenIdConnect("AAD", "Azure Active Directory", options => { 
    options.SignInScheme = IdentityServerConstants.ExternalCookieAuthenticationScheme; 
    options.SignOutScheme = IdentityServerConstants.SignoutScheme; 
    options.CallbackPath = "/aad-signin-oidc"; 
    options.Authority = "https://login.microsoftonline.com/common"; 
    options.ClientId = appRegistration.SelectToken("$.appId").ToString();
    options.Scope.Add("openid"); 
    options.Scope.Add("profile"); 
    options.TokenValidationParameters = new TokenValidationParameters { ValidateIssuer = false }; 
    options.GetClaimsFromUserInfoEndpoint = true; 
    options.Events.OnRedirectToIdentityProvider = (r) => { 
        r.ProtocolMessage.RedirectUri = r.ProtocolMessage.RedirectUri.Replace("identity//", "identity/"); 
        return Task.CompletedTask; 
    }; 
});

// 动态配置Cookie路径
services.PostConfigure<OpenIdConnectOptions>("AAD", (options, provider) =>
{
    var httpContextAccessor = provider.GetRequiredService<IHttpContextAccessor>();
    var pathBase = httpContextAccessor.HttpContext?.Request.PathBase.Value ?? string.Empty;
    // 拼接PathBase和CallbackPath作为Cookie路径
    options.CorrelationCookie.Path = $"{pathBase}{options.CallbackPath}";
    options.NonceCookie.Path = $"{pathBase}{options.CallbackPath}";
});

这样无论你的PathBase是/identity/还是其他值，都能自动适配，不用每次修改代码。

额外提示 #

你代码里的OnRedirectToIdentityProvider事件处理是用来修复RedirectUri里的重复路径问题，这个可以保留，避免网关转发时出现路径拼接错误的情况。

内容的提问来源于stack exchange，提问作者Poul K. Sørensen