ASP.NET Core会话超时重定向保留自定义appId参数方案问询

我之前做企业系统时碰到过一模一样的场景，默认的认证重定向逻辑确实不会自动帮你保留自定义查询参数，咱们可以从以下几个方案入手解决：

方案一：通过Cookie认证事件自定义重定向逻辑（推荐） #

这个方法在认证流程的源头处理，最直接也最优雅。你可以在Startup.cs配置Cookie认证时，利用OnRedirectToLogin事件拦截重定向请求，把原URL里的appId参数拼到登录地址上。

修改你的认证配置代码：

using Microsoft.AspNetCore.Authentication.Cookies;
using System.Threading.Tasks;

// ... 其他服务配置代码 ...

services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        // 基础超时配置
        options.ExpireTimeSpan = TimeSpan.FromMinutes(20);
        options.SlidingExpiration = true;
        options.LoginPath = "/Account/Login";

        // 自定义重定向逻辑，保留appId参数
        options.Events = new CookieAuthenticationEvents
        {
            OnRedirectToLogin = context =>
            {
                // 从原请求的查询参数中获取appId
                var appId = context.Request.Query["appId"].ToString();
                
                if (!string.IsNullOrWhiteSpace(appId))
                {
                    // 判断重定向URL是否已有查询参数，决定用?还是&
                    var querySeparator = context.RedirectUri.Contains("?") ? "&" : "?";
                    // 对参数值进行URL编码，避免XSS和格式问题
                    var encodedAppId = Uri.EscapeDataString(appId);
                    // 构造新的重定向地址
                    context.Response.Redirect($"{context.RedirectUri}{querySeparator}appId={encodedAppId}");
                }
                else
                {
                    // 没有appId的话，走默认重定向逻辑
                    context.Response.Redirect(context.RedirectUri);
                }
                
                return Task.CompletedTask;
            }
        };
    });

这样一来，当会话过期用户触发认证重定向时，appId参数会自动追加到登录URL后面，比如原本的请求是/Dashboard?appId=123，会话过期后就会重定向到/Account/Login?ReturnUrl=%2FDashboard%3FappId%3D123&appId=123，你在登录页就能直接拿到这个参数了。

方案二：在登录Action中解析ReturnUrl获取appId #

如果因为某些原因没法修改认证事件配置，也可以在登录页面的后端Action里，从ReturnUrl中解析出appId参数。

比如你的Login Get方法可以改成这样：

using System.Web; // 注意引用System.Web.dll，或用AspNetCore的QueryHelpers替代

public IActionResult Login(string returnUrl = null)
{
    string appId = null;
    
    if (!string.IsNullOrEmpty(returnUrl))
    {
        // 把ReturnUrl补全成完整Uri，方便解析查询参数
        var fullReturnUrl = $"{Request.Scheme}://{Request.Host}{returnUrl}";
        var queryParams = HttpUtility.ParseQueryString(new Uri(fullReturnUrl).Query);
        appId = queryParams["appId"];
    }
    
    // 把appId传递给视图，比如用ViewBag或者ViewModel
    ViewBag.AppId = appId;
    // 若需要在登录提交后继续使用，可存到TempData里
    TempData["AppId"] = appId;
    
    return View();
}

然后在登录视图里，你可以把appId作为隐藏字段保留，确保登录提交后也能传递该参数（如果需要的话）：

<input type="hidden" name="appId" value="@ViewBag.AppId" />

注意事项 #

• 不管用哪种方案，都要对appId参数进行URL编码，避免特殊字符导致参数丢失或XSS风险，方案一里已经用Uri.EscapeDataString处理了。
• 如果你的系统用的是ASP.NET Core Identity而非单纯的Cookie认证，配置逻辑类似，只需找到Identity对应的Cookie配置节点即可。

内容的提问来源于stack exchange，提问作者Greg Senne