ASP.Net Core 2.0 MVC与Azure AD强制重认证问题排查

我来帮你拆解这两个问题，结合ASP.NET Core 2.0和Azure AD的特性逐一分析：

问题1：[RequireReauthentication(0)]参数取值与await next()执行问题 #

首先，RequireReauthenticationAttribute应该是你自定义的动作过滤器（Action Filter），这个参数大概率是用来控制用户上次认证后允许的闲置时间阈值（单位：分钟）。

为什么设置0时await next()不执行？ #

从你描述的现象来看，这个特性的逻辑大概率是这样的：

• 当参数值≤0时，特性会直接触发重认证流程（比如返回重定向到Azure AD登录页），没有继续执行后续的请求管道（也就是跳过了await next()）；
• 当参数设置为30时，特性会检查用户上次认证的时间，如果距离当前时间超过30分钟才触发重认证，否则放行并执行await next()。

合理取值建议 #

• 如果你需要每次访问敏感接口都强制重认证：不要直接传0，而是需要修改RequireReauthenticationAttribute的逻辑。比如，当参数为0时，先触发重认证挑战，待认证完成后再继续执行后续动作；或者调整逻辑，确保即使强制重认证，也能在认证通过后调用next()。
• 如果你需要允许用户在一定闲置时间内不需要重认证：根据安全需求设置，比如5分钟（高敏感场景）、15分钟（一般敏感场景），这个值需要平衡安全性和用户体验。

举个修正逻辑的伪代码示例：

public async Task OnActionExecutionAsync(ActionExecutingContext context, ActionExecutionDelegate next)
{
    var thresholdMinutes = _threshold;
    var authResult = await context.HttpContext.AuthenticateAsync();
    var lastAuthTime = authResult.Properties?.IssuedUtc;

    bool needReauth = thresholdMinutes == 0 || 
                      (lastAuthTime.HasValue && DateTime.UtcNow - lastAuthTime.Value > TimeSpan.FromMinutes(thresholdMinutes));

    if (needReauth)
    {
        // 先判断是否是Ajax请求（处理逻辑见问题2）
        var isAjax = context.HttpContext.Request.Headers["X-Requested-With"] == "XMLHttpRequest";
        if (isAjax)
        {
            context.Result = new StatusCodeResult(StatusCodes.Status401Unauthorized);
        }
        else
        {
            // 触发Azure AD重认证挑战
            await context.HttpContext.ChallengeAsync(AzureADDefaults.AuthenticationScheme);
        }
        return;
    }

    await next();
}

问题2：Ajax请求重认证时的CORS错误 #

问题根源 #

当后端在Ajax请求中触发重认证时，会返回一个重定向响应到https://login.microsoftonline.com，但浏览器会阻止这个跨域操作——因为微软的登录页服务器不会给你的前端域名设置Access-Control-Allow-Origin头（微软不会允许任意域名跨域访问它的登录服务）。你在Startup里添加的CORS配置只针对你的后端API，对微软的登录域名完全无效，因为你无法控制对方的CORS规则。

解决方案 #

核心思路是：不要让后端给Ajax请求返回重定向，而是返回明确的状态码，由前端主动处理重认证逻辑。

1. 修改RequireReauthenticationAttribute，识别Ajax请求：
   在过滤器中检查请求头里的X-Requested-With是否为XMLHttpRequest（这是jQuery等库发起Ajax请求时默认携带的标识），如果是Ajax请求，返回401 Unauthorized状态码，而非重定向。
   代码示例参考问题1中的伪代码。

2. 前端捕获401状态码并处理：
   在你的Ajax请求错误回调中，捕获401状态码，然后触发重认证流程，比如：

   • 打开Bootstrap模态框，加载Azure AD的重认证链接（带上prompt=login参数强制重新登录）；
   • 或者使用MSAL.js（如果已集成）发起静默重认证请求；
   • 或者直接跳转到登录页，登录完成后返回原页面。

   前端jQuery示例代码：

   $.ajax({
       url: "/Sensitive/GetSensitivePartial",
       type: "GET",
       success: function(data) {
           $("#sensitive-modal .modal-body").html(data);
           $("#sensitive-modal").modal("show");
       },
       error: function(xhr) {
           if (xhr.status === 401) {
               // 打开重认证模态框
               $("#reauth-modal").modal("show");
               // 或者直接跳转到登录页，带上返回URL
               window.location.href = "/Account/Login?returnUrl=" + encodeURIComponent(window.location.href);
           }
       }
   });
   

3. 验证Azure AD配置：
   检查Azure AD应用注册中的重定向URI是否包含你的前端域名，确保重认证完成后能正确跳回你的应用。

内容的提问来源于stack exchange，提问作者OjM