Ошибка - сообщение SignInResponse может выполнять перенаправление только в текущем веб-приложении - приложение MVC 2.0

Я рвал на этом волосы. В моей конфигурации тоже указана конечная косая черта. Оказывается, в моем случае, переход к моему приложению с косой чертой в конце в браузере, вот так:

http://localhost/myapp/

будет работать, тогда как

http://localhost/myapp

не буду.

Если я смогу найти еще несколько причин, почему это так, я добавлю еще немного истории о том, почему это происходит.

Я отменяю RedirectToIdentityProvider в подклассе WSFederationAuthenticationModule. Это происходит только один раз перед перенаправлением на STS. Вы должны указать конфигурационному файлу использовать этот класс FixedWSFederationAuthenticationModule вместо значения по умолчанию WSFederationAuthenticationModule

public class FixedWSFederationAuthenticationModule : WSFederationAuthenticationModule
{
    public override void RedirectToIdentityProvider(string uniqueId, string returnUrl, bool persist)
    {
        //This corrects WIF error ID3206 "A SignInResponse message may only redirect within the current web application:"
        //First Check if the request url doesn't end with a "/"
        if (!returnUrl.EndsWith("/"))
        {
            //Compare if Request Url +"/" is equal to the Realm, so only root access is corrected
            //https://localhost/AppName plus "/" is equal to https://localhost/AppName/
            //This is to avoid MVC urls
            if (String.Compare(System.Web.HttpContext.Current.Request.Url.AbsoluteUri + "/", base.Realm, StringComparison.InvariantCultureIgnoreCase) == 0)
            {
                //Add the trailing slash
                returnUrl += "/";
            }
        }
        base.RedirectToIdentityProvider(uniqueId, returnUrl, persist);
    }
}

Этот код позаботится об этом (поместите его в global.asax):

private void Application_BeginRequest(object sender, EventArgs e)
{
//  This corrects WIF error ID3206 "A SignInResponse message may only redirect within the current web application: '/NHP' is not allowed."
//  For whatever reason, accessing the site without a trailing slash causes this error.
if (String.Compare(Request.Path, Request.ApplicationPath, StringComparison.InvariantCultureIgnoreCase) == 0 && !(Request.Path.EndsWith("/")))
Response.Redirect(Request.Path + "/");
}

РЕДАКТИРОВАТЬ:

Еще одна вещь, которую нужно проверить, - это элемент federationAuthentication / wsFederation в вашем microsoft.identityModel в Web.config. Убедитесь, что эмитент и область указаны правильно.

Я использую проверку подлинности с помощью форм с WIF. Модуль авторизации форм перенаправляет неавторизованные запросы на правильный контроллер и сохраняет первоначально запрошенный URL-адрес в параметре ReturnUrl, поэтому я решил эту ошибку, переопределив метод GetReturnUrlFromResponse.

/// <summary>
/// Provides a workaround for a bug in the standard authentication module.
/// </summary>
/// <remarks>
/// This class corrects WIF error ID3206 "A SignInResponse message may only
/// redirect within the current web application..."
/// WSFAM produces the error when the ReturnUrl is the root of the web application,
/// but doesn't have a trailing slash. For instance, "/app" is considered incorrect
/// by WSFAM whereas "/app/" is correct.
/// </remarks>
public class FixedWsFederationAuthenticationModule : System.IdentityModel.Services.WSFederationAuthenticationModule
{
    /// <summary>
    /// Extracts the URL of the page that was originally requested from
    /// the sign-in response.
    /// </summary>
    /// <returns>
    /// The URL of the page that was originally requested by the client.
    /// This is the URL (at the relying party) to which the client should
    /// be redirected following successful sign-in.
    /// </returns>
    /// <param name="request">
    /// The HTTP request that contains a form POST, which contains the
    /// WS-Federation sign-in response message.
    /// </param>
    protected override string GetReturnUrlFromResponse(HttpRequestBase request)
    {
        string returnUrl = base.GetReturnUrlFromResponse(request);

        // First Check if the request url doesn't end with a "/"
        if (!string.IsNullOrEmpty(returnUrl) && !returnUrl.EndsWith("/"))
        {
            // Compare if (return Url +"/") is equal to the Realm path,
            // so only root access is corrected.
            // /AppName plus "/" is equal to /AppName/
            // This is to avoid MVC urls.
            if (string.Compare(
                returnUrl + "/",
                new Uri(Realm).LocalPath,
                StringComparison.InvariantCultureIgnoreCase) == 0)
            {
                // Add the trailing slash.
                returnUrl += "/";
            }
        }

        return returnUrl;
    }
}

Чтобы использовать этот класс, вам необходимо зарегистрировать его в web.config. Добавьте этот элемент в раздел system.webServer/modules, изменив соответствующие части:

<add name="WSFederationAuthenticationModule" type="YOUR_NAMESPACE.FixedWsFederationAuthenticationModule, YOUR_ASSEMBLY" preCondition="managedHandler" />

У меня возникла эта проблема, когда я добавил ссылку STS в свое веб-приложение, которое по умолчанию работает на виртуальном сервере на динамическом порту. Я изменил его, чтобы запустить его из IIS (как и в случае с виртуальным веб-сервером, перенаправление на STS не произойдет, если вы не запустите его из IIS / IIS Express) и вручную отредактировал web.config для изменения URI аудитории в конфигурации Microsoft.IdentityModel.

Когда я посмотрел на FederationMetadata.xml, он все еще относился к старому местоположению (с динамическим портом). Я обновил свой справочник STS, добавив его снова, и он сработал.