使用公司提供程序的 ASP.NET Core OAuth2 实现。 异常：oauth 状态丢失或无效

Question

我正在 ASP.NET Core（使用 .NET 5、Razor Pages）应用程序中实现 OAuth。 我遇到了一个错误，但我不太明白它在告诉我什么。

背景信息

我还没有让 OAuth 实现工作，所以即使我能够让它工作并解决这个错误，我也不相信我已经完美地设置了一切。 如果您对我可以改进的事情有任何建议，将不胜感激！

作为参考，我只尝试使用 OAuth 几天，并且我之前没有任何身份验证/授权经验。 不过，我已经阅读了一些指南，我会在我的帖子末尾提到这些。

我已经包含了有关以下内容的详细信息：

• 异常消息和堆栈跟踪
• 我的代码
• 我的想法
• 参考

错误

Exception: The oauth state was missing or invalid.

堆栈跟踪：

System.Exception: An error was encountered while handling the remote login.
 ---> System.Exception: The oauth state was missing or invalid.
   --- End of inner exception stack trace ---
   at Microsoft.AspNetCore.Authentication.RemoteAuthenticationHandler`1.HandleRequestAsync()
   at Microsoft.AspNetCore.Authentication.AuthenticationMiddleware.Invoke(HttpContext context)
   at Microsoft.AspNetCore.Session.SessionMiddleware.Invoke(HttpContext context)
   at Microsoft.AspNetCore.Session.SessionMiddleware.Invoke(HttpContext context)
   at Microsoft.AspNetCore.Diagnostics.DeveloperExceptionPageMiddleware.Invoke(HttpContext context)

我的代码

• 我不确定与我公司实施 OAuth 相关的信息有多私密，因此为了安全起见，我省略了可以识别公司的详细信息。

Startup.cs ConfigureServices()

• 仅包括与 OAuth2 相关的部分

public void ConfigureServices(IServiceCollection services)
{
    // OAuth2 Authentication 

    services.AddAuthentication(options =>
    {
        options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = "MyCompanyAuthenticationScheme";
    }).AddCookie(options =>
    {
        options.Cookie.IsEssential = true;
    }).AddOAuth("MyCompanyAuthenticationScheme", options => 
    { 
        options.ClientId = Configuration["Company:ClientId"];
        options.ClientSecret = Configuration["Company:ClientSecret"];
        options.CallbackPath = new PathString("/Auth/Login");
        
        options.AuthorizationEndpoint = "...";
        options.TokenEndpoint = "...";
        options.UserInformationEndpoint = "...";

        // todo: are all three of these necessary?
        options.Scope.Add("loginAccountInfo");
        options.Scope.Add("contactInfo");
        options.Scope.Add("employeeInfo");

        options.SaveTokens = true;

        // todo: are the jsonKeys defined in the above Scopes? follow up when you have a better understanding of how these work, or if the MapJsonKey lines are even necessary
        options.ClaimActions.MapJsonKey(ClaimTypes.Name, "firstName");
        options.ClaimActions.MapJsonKey(ClaimTypes.Email, "emailAddress");
    });
}

Startup.cs 配置（）

• 再次只包含相关的代码部分
• 重要的是我确实包含了app.UseAuthentication()

// This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    app.UseRouting();

    app.UseAuthentication();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapRazorPages();
        endpoints.MapControllers();
    });
}

验证控制器：

[AllowAnonymous]
[Route("[controller]/[action]")]
public class AuthController : Controller
{
    [HttpGet]
    public IActionResult Login(string returnUrl = "/")
    {
        if(!User.Identity.IsAuthenticated)
            return Challenge(new AuthenticationProperties() { RedirectUri = returnUrl});

        return Forbid();
    }
}

我认为这是与 OAuth 相关的所有代码，但如果您认为我需要包含更多详细信息，请告诉我！

我的想法

• 我认为问题出在我在 Startup.cs ConfigureServices() 中定义的options.CallbackPath中，在 services.AddOAuth() 下。
  • 我已经看到一些帖子详细说明我不需要设置这个变量，但在这些帖子中，他们似乎正在为具有 NuGet 包的提供者（例如 Google、GitHub、Facebook 等）实施 OAuth提前定义了哪些options.CallbackPath 。
  • 我还看到一些信息说options.CallbackPath由 OAuth 中间件在内部使用，并且它不对应于控制器操作（这意味着我不需要我的 Auth 控制器及其登录操作）。 但是，如果我删除定义options.CallbackPath的行，我会收到另一个错误，指出它未定义，这让我相信这是非常必要的。

参考

• 我最初使用这个网站是为了获取有关 OAuth 是什么及其工作原理的背景信息。
• 在此应用程序中设置 OAuth 时，我使用本指南作为参考。
• 在问我的问题之前，我查看并考虑了这些现有的 StackOverflow 帖子，但无法找到答案：
  • oauth 状态丢失或无效。 处理远程登录时遇到错误
  • 取消外部登录的异常
  • 例外：oauth 状态丢失或无效。 （ASP.NET Core 外部标识符 OAuth）

Answer 1

options.CallbackPath = new PathString("/Auth/Login");

如果您有一个绑定到/Auth/Login的控制器操作，这应该是问题的根源。

options.CallbackPath的值不必匹配任何控制器操作。 它是中间件接收身份提供者答案的内部路由。 您可以简单地将/callback指定为其值或与现有路由不匹配的任何其他值