IdentityServer3登录页：用户拒绝认证时如何实现重定向？

我来帮你梳理下这两个问题的解决方案，都是基于IdentityServer3和OpenID Connect的标准流程来的：

你不能只做无token的简单重定向——.NET的OpenIdConnect中间件需要符合OIDC规范的错误响应才会触发OnAuthenticationFailed事件。正确的做法是构造一个标准的OIDC错误重定向：

1. 获取必要参数：从用户的认证请求中拿到state参数（这个是客户端发起请求时传递的，用来防止CSRF攻击，.NET中间件会验证它），可以通过Request.Query["state"]在IdentityServer3的登录页面逻辑中获取。
2. 构造错误重定向URL：指向客户端配置的OIDC回调地址（比如https://your-client-app.com/signin-oidc），拼接以下参数：
   • error：使用OIDC标准错误码，这里适合用access_denied（表示用户主动拒绝了授权/认证）
   • error_description：可选的友好描述，比如User+declined+terms+of+service（注意URL编码）
   • state：必须带上之前获取的state值
     示例URL：

   https://your-client-app.com/signin-oidc?error=access_denied&error_description=User+declined+terms+of+service&state=abc123xyz
   

3. 执行重定向：在IdentityServer3的登录页面逻辑中，返回这个构造好的URL重定向。

这样.NET中间件收到响应后，会自动触发OnAuthenticationFailed事件，你可以在事件处理方法里捕获access_denied错误，然后引导用户回到应用的匿名页面。

核心原则是遵循OpenID Connect的错误响应规范——不管客户端用什么技术栈，IdentityServer3返回的错误格式都是统一的，客户端只需要按照OIDC标准解析回调即可：

• 统一返回格式：和问题一的重定向参数一致，必须包含error、state，可选error_description。这个格式是OIDC标准定义的，所有合规的客户端库都能识别。
• 不同客户端的具体处理示例：
  • JavaScript客户端：如果用oidc-client-js这类库，它会自动处理回调中的错误，你可以在signinCallback方法里捕获错误对象，判断error属性为access_denied时，清除临时状态并引导用户返回应用；如果是自定义实现，直接解析URL的查询参数即可。
  • Java客户端：比如Spring Security OIDC，框架会自动识别access_denied错误，你可以通过自定义AuthenticationFailureHandler来处理该场景，或者在回调控制器中主动检查请求参数中的error值。
  • PHP客户端：使用league/oauth2-client这类库的话，回调时会抛出对应的异常（比如AccessDeniedException），你可以捕获这个异常，然后跳转到应用的匿名页面。

关键是不要为不同客户端做特殊化的返回，保持OIDC标准的错误响应格式，所有客户端都能兼容处理。

内容的提问来源于stack exchange，提问作者Abhishek Tiwari