IdentityServer4在Docker Swarm环境登录后重定向问题排查

问题原因 #

当Cookie设置SameSite=None时，浏览器强制要求该Cookie必须同时启用Secure属性（仅通过HTTPS传输）。你的Docker Swarm环境中服务通过HTTP暴露（容器内80端口映射到外部7000/9000端口），浏览器会拒绝保存未满足Secure要求的.AspNetCore.Identity.Application Cookie，导致登录状态丢失，最终重定向回登录页。

解决方案 #

方案1：调整Cookie SameSite配置（适用于非生产HTTP环境） #

修改IdentityServer项目Program.cs中的Cookie配置，将SameSite从None改为Lax，避免浏览器的Secure强制要求：

// 配置Identity的ApplicationCookie
builder.Services.ConfigureApplicationCookie(options =>
{
    options.Cookie.SameSite = SameSiteMode.Lax; // 替换原SameSiteMode.None
    options.Cookie.SecurePolicy = CookieSecurePolicy.SameAsRequest;
});

// 同时配置IdentityServer自身的认证Cookie
builder.Services.AddIdentityServer(options =>
{
    options.Authentication.CookieAuthenticationScheme = IdentityConstants.ApplicationScheme;
    options.Authentication.CookieSameSiteMode = SameSiteMode.Lax; // 添加此行
    options.Authentication.CookieSecure = CookieSecurePolicy.SameAsRequest; // 添加此行
})
.AddInMemoryClients(Config.Clients)
.AddInMemoryIdentityResources(Config.IdentityResources)
.AddInMemoryApiScopes(Config.ApiScopes)
.AddAspNetIdentity<ApplicationUser>()
.AddProfileService<IdentityProfileService>()
.AddDeveloperSigningCredential();

同步修改MVC项目Program.cs中的Cookie配置，保持一致性：

.AddCookie("Cookies", c =>
{
    c.CookieManager = new ChunkingCookieManager();
    c.Cookie.HttpOnly = true;
    c.Cookie.SameSite = SameSiteMode.Lax; // 替换原SameSiteMode.None
    c.Cookie.SecurePolicy = CookieSecurePolicy.SameAsRequest;
    c.ExpireTimeSpan = TimeSpan.FromMinutes(30);
})

方案2：启用HTTPS（生产环境推荐） #

生产环境必须使用HTTPS，确保Cookie的Secure属性有效：

1. 为ASP.NET Core项目配置SSL证书，修改Program.cs：

builder.WebHost.UseKestrel(options =>
{
    options.ListenAnyIP(443, o => o.UseHttps("your-cert.pfx", "cert-password"));
});
builder.WebHost.UseHttpsRedirection();

2. 更新Docker Stack文件，映射443端口并挂载证书文件：

services:
  authserver:
    image: 192.168.48.107:5000/dmn/authserver:1.0.0
    ports:
      - "7001:443" # 改为HTTPS端口
    volumes:
      - key-storage:/root/.aspnet/DataProtection-Keys
      - ./certs:/app/certs # 挂载证书目录
    # ... 其他配置

  usermanagement:
    image: 192.168.48.107:5000/dmn/usermanagement:1.0.0
    ports:
      - "9001:443" # 改为HTTPS端口
    volumes:
      - key-storage:/root/.aspnet/DataProtection-Keys
      - ./certs:/app/certs # 挂载证书目录
    # ... 其他配置

3. 保持Cookie配置的SameSite=None和SecurePolicy=Always：

// IdentityServer项目
builder.Services.ConfigureApplicationCookie(options =>
{
    options.Cookie.SameSite = SameSiteMode.None;
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
});

// MVC项目
.AddCookie("Cookies", c =>
{
    c.Cookie.SameSite = SameSiteMode.None;
    c.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    // ... 其他配置
})

额外注意事项 #

如果使用反向代理（如Traefik）暴露服务，需要配置ASP.NET Core识别转发的协议头，确保SameAsRequest能正确判断外部协议：
在两个项目的Program.cs中添加：

app.UseForwardedHeaders(new ForwardedHeadersOptions
{
    ForwardedHeaders = ForwardedHeaders.XForwardedProto
});

内容的提问来源于stack exchange，提问作者Sachin Maharjan