ASP.NET Core Entra ID外部登录跳转/signin-microsoft提示资源未找到

可能引发问题的原因 #

• OpenID Connect中间件未正确注册：/signin-microsoft是ASP.NET Core OpenID Connect中间件默认的回调路径，如果Program.cs中未配置AddOpenIdConnect("Microsoft", ...)，或者CallbackPath参数与Entra ID配置的重定向URI不匹配，会导致该路径无对应处理端点，返回404。
• 路由规则冲突：应用自定义的路由模板若覆盖或拦截了/signin-microsoft路径（比如Razor Pages或MVC路由匹配该路径但无对应处理逻辑），会触发资源未找到错误。
• 租户级配置/权限限制：即便重定向URI配置正确，仍可能存在租户侧限制：比如应用为单租户但用户来自其他租户、目标租户未授权应用访问、条件访问策略间接阻断了回调请求（部分策略会静默拦截而非返回AADSTS错误码）。
• ASP.NET Core Identity配置缺失：未正确注册AddIdentity/AddDefaultIdentity并关联OpenID Connect中间件，会导致外部登录的回调处理逻辑未被加载，/signin-microsoft无处理逻辑。
• Azure App Service配置冲突：App Service自带的「身份验证」功能若与应用自身的认证中间件同时启用，会引发冲突；URL重写规则修改回调路径、部署时中间件配置未正确发布，也会导致端点无法访问。
• 会话存储异常：应用依赖的分布式缓存（如Redis）失效，会导致OpenID Connect的state参数验证失败，中间件拒绝处理请求，进而触发404。

调试排查步骤 #

• 校验中间件注册顺序与配置
  确保AddIdentity、AddAuthentication().AddOpenIdConnect的注册顺序正确，且中间件调用顺序符合规范：

  // 示例核心配置
  builder.Services.AddDefaultIdentity<IdentityUser>()
      .AddEntityFrameworkStores<ApplicationDbContext>();
  
  builder.Services.AddAuthentication()
      .AddOpenIdConnect("Microsoft", options =>
      {
          options.ClientId = builder.Configuration["AzureAd:ClientId"];
          options.ClientSecret = builder.Configuration["AzureAd:ClientSecret"];
          options.Authority = $"https://login.microsoftonline.com/{builder.Configuration["AzureAd:TenantId"]}/v2.0";
          options.CallbackPath = "/signin-microsoft"; // 必须与Entra ID重定向URI完全一致
          options.ResponseType = "code";
          options.Scope.Add("email");
          options.Scope.Add("profile");
      });
  
  // 中间件调用顺序
  app.UseRouting();
  app.UseAuthentication(); // 必须在UseAuthorization之前
  app.UseAuthorization();
  app.MapRazorPages(); // 或MapControllerRoute，根据应用类型调整
  

• 验证回调路径一致性
  确认Entra ID应用注册中的重定向URI（如https://login.smartcursors.com/signin-microsoft）与代码中CallbackPath完全匹配，包括大小写、是否带尾部斜杠（通常无需添加）。
• 排查路由拦截问题
  临时添加测试路由，验证/signin-microsoft是否被路由拦截：

  app.MapGet("/signin-microsoft", context => 
      context.Response.WriteAsync("Callback endpoint reachable"));
  

  若访问该路径显示测试内容，说明OpenID Connect中间件未处理请求；若仍返回404，则是路由规则拦截了该路径。
• 启用详细认证日志
  在appsettings.json中开启认证中间件的调试日志：

  {
    "Logging": {
      "LogLevel": {
        "Microsoft.AspNetCore.Authentication": "Debug",
        "Microsoft.AspNetCore.Authentication.OpenIdConnect": "Debug"
      }
    }
  }
  

  通过Azure App Service日志流或本地日志，查看/signin-microsoft请求的处理流程，确认中间件是否尝试处理请求、是否有隐藏错误。
• 测试租户场景
  用应用注册所在租户的用户登录，对比跨租户用户的表现：若仅跨租户用户出现问题，需检查应用是否配置为多租户、目标租户是否已同意应用权限。
• 检查Azure App Service设置
  关闭App Service的「身份验证」功能（避免与应用自身认证逻辑冲突），同时检查URL重写规则，确保未修改/signin-microsoft路径。
• 验证会话存储
  检查分布式缓存服务（如Redis）的连接状态与配置，确保会话与认证状态可正常存储与读取。
• 本地模拟调试
  使用ngrok将本地应用暴露至公网，配置Entra ID重定向URI为ngrok地址+/signin-microsoft，直接调试代码，查看_signInManager.GetExternalLoginInfoAsync()的返回值，跟踪回调流程的执行细节。

内容的提问来源于stack exchange，提问作者Raju Nalamasu