使用jammy-chiseled-extra镜像部署ASP.NET Core Web API遇HTTP 403访问拒绝

以下是针对你遇到的问题的排查步骤和解决方案：

1. 检查容器应用日志，确认启动状态 #

首先查看容器的启动日志，确认应用是否正常初始化，有没有端口绑定失败、配置文件读取错误等问题：

docker logs <你的容器ID>

如果日志中出现权限相关的错误，比如无法读取配置文件，需要调整文件权限。

2. 测试Development环境配置 #

容器默认使用Production环境，而本地调试用的是Development，两者可能存在配置差异（比如Swagger仅在开发环境启用、授权策略不同）。临时添加环境变量切换到开发环境测试：

docker run -p 5000:5000 -d -e ASPNETCORE_ENVIRONMENT=Development testimagecore1

如果此时访问正常，说明问题出在Production环境的配置上：

• 检查Program.cs中是否仅在开发环境启用Swagger，若需要生产环境访问，调整Swagger的启用逻辑；
• 检查生产环境下的授权策略，确认是否默认启用了严格的授权规则，导致公开端点被拦截。

3. 调整容器内文件权限 #

Jammy-Chiseled镜像使用非root用户$APP_UID运行，若应用所需的文件（如appsettings.json）没有被该用户读取的权限，会导致配置加载异常，进而引发403。在Dockerfile的COPY步骤后添加权限设置：

# final stage/image
FROM mcr.microsoft.com/dotnet/nightly/runtime-deps:8.0-jammy-chiseled-extra
WORKDIR /app
COPY --from=build /app .
# 添加这行，确保APP_UID拥有目录权限
RUN chown -R $APP_UID:$APP_GID /app
ENV DOTNET_SYSTEM_GLOBALIZATION_INVARIANT=false
USER $APP_UID
EXPOSE 5000
ENV ASPNETCORE_URLS=http://+:5000
ENV ASPNETCORE_HTTP_PORTS=5000

ENTRYPOINT ["./Demo.WebApi"]

重新构建镜像并运行测试。

4. 检查HTTPS重定向配置 #

如果你的应用在Program.cs中启用了UseHttpsRedirection()，但容器内未配置HTTPS证书，会导致HTTP请求被强制重定向到HTTPS，但HTTPS端口未开放或未配置，最终返回403。可以：

• 临时禁用HTTPS重定向（仅用于测试）：在Program.cs中注释掉app.UseHttpsRedirection();；
• 配置容器的HTTPS环境变量，添加证书挂载：

  docker run -p 5000:5000 -p 5001:5001 -d \
    -e ASPNETCORE_URLS="https://+:5001;http://+:5000" \
    -e ASPNETCORE_Kestrel__Certificates__Default__Path=/https/aspnetapp.pfx \
    -e ASPNETCORE_Kestrel__Certificates__Default__Password=yourpassword \
    -v /path/to/your/cert:/https/ \
    testimagecore1
  

5. 确认端口监听状态 #

进入容器检查应用是否正确监听5000端口：

docker exec -it <容器ID> sh
# 若容器支持ss命令
ss -tulpn
# 或用netstat（若已安装）
netstat -tulpn

如果没有进程监听0.0.0.0:5000，说明ASPNETCORE_URLS或ASPNETCORE_HTTP_PORTS配置未生效，检查环境变量是否正确设置，或应用启动时是否硬编码了监听地址。

内容的提问来源于stack exchange，提问作者MRBULL93