Docker环境下OpenIddict令牌自省返回active:false，发行者不匹配如何解决？

核心问题本质 #

令牌嵌入的发行者（iss字段）是外部访问身份服务的http://localhost:64588，但API服务在Docker内部通过服务名identity:7004请求自省端点，验证逻辑期望的发行者是http://identity:7004/，两者不匹配导致自省返回{"active": false}。

分步解决方案 #

1. 身份服务配置多发行者URI #

在身份服务的启动配置中，显式指定OpenIddict的发行者URI，同时包含Docker内部服务地址和外部映射地址，确保令牌发行时能认可两种来源的请求：

builder.Services.AddOpenIddict()
    .AddServer(options =>
    {
        // 基础端点配置（授权、令牌、自省等）
        options.SetAuthorizationEndpointUris("/connect/authorize")
               .SetTokenEndpointUris("/connect/token")
               .SetIntrospectionEndpointUris("/connect/introspect");

        // 显式设置双发行者URI，覆盖自动检测的主机头
        options.SetIssuerUris(
            "http://identity:7004/",
            "http://localhost:64588/"
        );

        // 启用自省功能并配置客户端授权
        options.AllowIntrospection();
        options.AddClient("api-client", client =>
        {
            client.SetClientSecret("api-secret");
            client.SetPermissions(Permissions.Endpoints.Introspection);
        });

        // 配置签名/加密证书（生产环境建议用真实证书）
        options.AddDevelopmentEncryptionCertificate()
               .AddDevelopmentSigningCertificate();
    });

2. API服务验证配置适配多发行者 #

在API服务的验证中间件中，同时添加两个有效发行者，确保无论令牌的iss是内部还是外部地址，都能通过验证：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = OpenIddictValidationAspNetCoreDefaults.AuthenticationScheme;
})
.AddOpenIddictValidation(options =>
{
    // 主发行者用Docker内部服务名，减少外部依赖
    options.SetIssuer("http://identity:7004/");
    // 添加外部发行者作为有效选项
    options.AddValidIssuer("http://localhost:64588/");

    // 配置内部自省端点地址，避免走外部端口
    options.SetIntrospectionEndpoint("http://identity:7004/connect/introspect");
    // 配置自省请求的客户端凭证
    options.AddClientId("api-client");
    options.AddClientSecret("api-secret");
});

3. 调整Kestrel与Docker Compose配置 #

• 身份服务的Kestrel配置需监听容器内部端口，允许任意主机头：

builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(7004);
});
builder.Services.Configure<Microsoft.AspNetCore.Hosting.ServerOptions>(options =>
{
    options.AllowedHosts = "*";
});

• Docker Compose中确保服务名、端口映射和环境变量一致：

version: '3.8'
services:
  identity:
    build: ./IdentityService
    ports:
      - "64588:7004"
    environment:
      - ASPNETCORE_URLS=http://+:7004
  api:
    build: ./ApiService
    depends_on:
      - identity
    environment:
      - ASPNETCORE_URLS=http://+:5000

Docker环境下OpenIddict推荐配置 #

• 显式指定发行者URI：避免依赖自动检测的主机头，Docker内部容器的网络环境与外部访问的主机头存在差异，手动配置多发行者是最可靠的方式。
• 内部服务通信优先：API服务调用身份服务的端点（自省、元数据）时，使用Docker服务名而非外部映射端口，减少网络跳转，提升稳定性。
• 统一有效发行者列表：身份服务和API服务的有效发行者必须完全一致，否则会出现验证不通过的情况。
• 安全配置：生产环境使用正式的签名/加密证书，启用自省端点的客户端身份验证，禁止匿名请求。
• HTTPS适配：生产环境强制使用HTTPS，发行者URI切换为https协议，配置对应的TLS证书。

内容的提问来源于stack exchange，提问作者User_4373