太多OpenID.nonce cookie导致"错误请求"

Question

我已经在这里,这里和这里找到了与我遇到的问题相关的链接.

我使用IdentiServer3进行身份验证的Silverlight应用程序,当我实现注销功能时,我刚开始遇到这个问题.请注意,该问题与Silverlight无关,因为登录和注销功能实际上是在服务器端实现的,这是一个传统的ASP.Net Web表单.(.NET 4.5.1)

该应用程序从未具有注销功能,因此用户只是用来关闭浏览器,所以我们以前从未遇到过这个问题.我们现在有logout.aspx页面,Silverlight应用程序有这个页面的链接.

Logout.aspx页面

public partial class Logout : System.Web.UI.Page
{
    protected void Page_Load(object sender, EventArgs e)
    {
        if (Request.IsAuthenticated)
        {
            Session.Clear();
            Request.GetOwinContext().Authentication.SignOut();
        }
        Response.Redirect("/");
    }
}

Default.aspx页面.这是首页

public partial class Default : Page
{
    protected void Page_Load(object sender, EventArgs e)
    {
        // Send an OpenID Connect sign-in request.
        if (!System.Web.HttpContext.Current.Request.IsAuthenticated)
        {
            HttpContext.Current.GetOwinContext().Authentication.Challenge(new AuthenticationProperties { RedirectUri = "/" }, OpenIdConnectAuthenticationDefaults.AuthenticationType);
        }
    }
} 

配置OpenID连接的OWIN启动类

  app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationType = "Cookies",
            LoginPath = new Microsoft.Owin.PathString("/Default.aspx")
        });

  app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
        {
            Authority = ConfigurationManager.AppSettings["Authority"],
            Scope = "openid profile",
            ClientId = ConfigurationManager.AppSettings["ClientId"],
            RedirectUri = ConfigurationManager.AppSettings["RedirectUri"],
            ResponseType = "id_token",
            SignInAsAuthenticationType = "Cookies",

            Notifications = new OpenIdConnectAuthenticationNotifications
            {
                SecurityTokenValidated = (context) =>
                {

                    var id = context.AuthenticationTicket.Identity;

                    // create new identity
                    var newIdentity = new ClaimsIdentity(id.AuthenticationType);

                    // we want to keep username and subjectid                        
                    var sub = id.FindFirst(ClaimTypes.NameIdentifier);
                    var username = id.FindFirst("preferred_username");
                    newIdentity.AddClaim(username);
                    newIdentity.AddClaim(sub);

                    // keep the id_token for logout
                    newIdentity.AddClaim(new Claim("id_token", context.ProtocolMessage.IdToken));

                    context.AuthenticationTicket = new AuthenticationTicket(
                        newIdentity,
                        context.AuthenticationTicket.Properties);

                    return Task.FromResult(0);
                },

                RedirectToIdentityProvider = (context) =>
                {
                    if (context.ProtocolMessage.RequestType == OpenIdConnectRequestType.LogoutRequest)
                    {
                        var idTokenHint = context.OwinContext.Authentication.User.FindFirst("id_token").Value;
                        context.ProtocolMessage.IdTokenHint = idTokenHint;
                    }
                    return Task.FromResult(0);
                },                    
            }

重现问题的步骤:

1. 我键入网站URL,将我重定向到identityserver3登录页面.
2. 我输入凭据并点击登录.
3. 成功登录后,我被重定向到网站,然后我点击退出.

4. 我成功登出了.Fiddler显示以下呼叫

   https://idsvr.mydomain.com/identity/connect/endsession?id_token_hint=XXXXXXXXXXXXXX https://idsvr.mydomain.com/identity/logout?id=616dd9a4e4c6a55b0bb27faceb4df8dd https://idsvr.mydomain.com/identity/connect/ endsessioncallback？SID = XXXXXX

5. 我按预期登陆https://idsvr.mydomain.com/identity/logout?id=xxxxxxx页面.

6. 现在我关闭浏览器(这一步很重要)
7. 现在再次键入网站URL,将我重定向到身份服务器登录页面.(如第1步)
8. 我输入凭据并点击登录.
9. 成功登录后,IdentityServer对网站进行POST,网站创建AuthenticationTicket.但是,这里HttpContext.Current.Request.IsAuthenticated是false,因此Default.aspx页面重定向到IdentityServer.我已登录,因此Indetityserver重定向到客户端网站并继续循环.

Fiddler展示了从identityServer到网站default.aspx页面的几次往返.OpenIdConnect.nonce.OpenIdConnect由于最大请求大小,每次往返都会不断添加cookie并最终导致错误的请求错误.

因此,正如上面链接所示,我降级Microsoft.Owin.Security.OpenIdConnect为3.0.0客户端应用程序.

但是,我仍然陷入持续循环.唯一的区别是现在它不会OpenIdConnect.nonce.OpenIdConnect为每次往返添加新的cookie.Fiddler每次往返只显示一个饼干.但HttpContext.Current.Request.IsAuthenticated仍然是假的.所以我陷入了连续循环.

Answer 1

我的asp.net mvc应用程序存在类似的问题。经过一番研究，我发现Microsoft的System.Web Owin实现中存在错误。在IIS上运行Owin应用程序时使用的一种。如果我们将新的基于Owin的身份验证处理与ASP.NET MVC5一起使用，那大概就是我们中的99％。

该错误使Owin设置的Cookie在某些情况下神秘地消失了。

该中间件是针对该错误的修复程序。只需在任何处理cookie的中间件之前将其添加即可，它将保留身份验证cookie。

app.UseKentorOwinCookieSaver();

这是详细的链接 https://github.com/KentorIT/owin-cookie-saver