使用ChallengeAsync时IdentityServer4的signin-oidc无限重定向至登录页

看起来你在集成MVC和IdentityServer时碰到了登录后无限循环的坑，我从你的日志和配置里找到了几个核心问题，咱们逐个修复就能让流程正常跑起来：

1. 给Login动作加“已登录判断”，避免重复触发Challenge #

你的Account/Login方法现在不管用户有没有登录，上来就调用ChallengeAsync——这就是循环的根源！登录成功回调回来后，默认跳转回Login，结果又触发一次Challenge，周而复始。

修改你的Login方法，先检查用户身份，如果已经认证就直接跳转到目标页面，否则再发起Challenge：

public async Task<IActionResult> Login(string returnUrl = "/")
{
    if (User.Identity.IsAuthenticated)
    {
        return Redirect(returnUrl);
    }
    // 指定登录成功后跳转到returnUrl，而非默认的Login页面
    var props = new AuthenticationProperties { RedirectUri = returnUrl };
    return await HttpContext.ChallengeAsync(OpenIdConnectDefaults.AuthenticationScheme, props);
}

这里加了returnUrl参数，还通过AuthenticationProperties指定了跳转目标，确保用户登录后回到原本想访问的页面，不再卡在Login页面。

2. 将IdentityServer客户端授权类型改为Authorization Code Flow #

你当前用的GrantTypes.Implicit是给纯前端应用（如Vue/React）设计的，后端MVC应用应该用Authorization Code Flow（带PKCE，更安全）。Implicit Flow和后端Cookie认证的配合会有兼容性问题，这也是触发循环的潜在原因。

修改IDP端的客户端注册代码：

new Client
{
    ClientId = "mvc",
    ClientName = "MVC Client",
    // 替换为Authorization Code Flow
    AllowedGrantTypes = GrantTypes.Code,
    RequireConsent = false,
    // Code Flow需要配置客户端密钥，需与MVC端保持一致
    ClientSecrets = { new Secret("your_client_secret_here".Sha256()) },
    RedirectUris = { "https://localhost:4500/signin-oidc" },
    PostLogoutRedirectUris = { "https://localhost:4500/signout-callback-oidc" },
    AllowedScopes = { 
        IdentityServerConstants.StandardScopes.OpenId, 
        IdentityServerConstants.StandardScopes.Profile 
    },
    // 可选：允许获取刷新令牌，实现持久登录
    AllowOfflineAccess = true
}

然后在MVC的OpenIdConnect配置里补上客户端密钥，明确指定响应类型为code：

.AddOpenIdConnect(OpenIdConnectDefaults.AuthenticationScheme, options =>
{
    options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.Authority = Constants.Authority;
    options.RequireHttpsMetadata = true;
    options.ClientId = "mvc";
    // 填写与IDP端一致的客户端密钥
    options.ClientSecret = "your_client_secret_here";
    // 明确使用Authorization Code Flow
    options.ResponseType = "code";
    options.SaveTokens = true;
});

3. 确认Cookie认证配置无冲突（可选但建议） #

你的AddCookie()用的是默认配置，一般没问题，但可以明确指定Cookie关键参数，避免和其他Cookie冲突：

.AddCookie(CookieAuthenticationDefaults.AuthenticationScheme, options =>
{
    options.Cookie.Name = "MVC_Authentication_Cookie";
    options.LoginPath = "/Account/Login"; // 未认证时跳转的登录路径
    options.LogoutPath = "/Account/Logout";
});

最后验证流程 #

改完这些后，重启IdentityServer和MVC应用：

• 点击自定义登录按钮，触发Login动作，此时用户未认证，会跳转到IdentityServer的登录页
• 用户登录成功后，IDP回调到signin-oidc，Cookie中间件会创建认证Cookie
• 之后会自动跳转到returnUrl指定的页面（默认是首页），不会再回到Login页面，循环彻底终止

内容的提问来源于stack exchange，提问作者ChrisO