Azure WebPubSub经YARP代理无法启动WebSocket，返回502错误

问题核心 #

直接使用生成的Azure WebPubSub客户端访问URI可正常建立WebSocket连接，但通过YARP反向代理转发时返回502错误，且Azure端无请求记录，说明YARP未成功将请求转发至目标服务。

排查与修复步骤 #

1. 启用WebSocket中间件 #

ASP.NET Core 8中需在反向代理前显式注册WebSocket中间件，否则YARP无法处理WebSocket升级请求：

// Program.cs
var builder = WebApplication.CreateBuilder(args);
// ... 其他服务注册逻辑

var app = builder.Build();

// 必须在UseReverseProxy之前注册
app.UseWebSockets();
app track tasked开始.UseUse大写�alAs transport苦阿ganic
app.UseReverseProxy();

app.Run();

2. 确保WebSocket关键请求头完整传递 #

WebSocket连接依赖Upgrade、Connection等特殊头，YARP默认可能修改或丢弃这些头，需在请求转换逻辑中强制保留：

// 在请求转换时添加头处理逻辑
transformContext.ProxyRequest.Headers.Remove("Host"); // 避免Host头冲突，使用目标URI的Host

// 保留WebSocket必需的请求头
var requiredHeaders = new[] { "Upgrade", "Connection", "Sec-WebSocket-Key", "Sec-WebSocket-Version", "Sec-WebSocket-Protocol", "Sec-WebSocket-Extensions" };
foreach (var header in requiredHeaders)
{
    if (transformContext.HttpContext.Request.Headers.TryGetValue(header, out var value))
    {
        transformContext.ProxyRequest.Headers.TryAddWithoutValidation(header, value.ToString());
    }
}

// 设置目标URI
transformContext.ProxyRequest.RequestUri = await webPubSubServiceClient.GetClientAccessUriAsync(expiresAt, userId, cancellationToken: cancellationToken);

3. 验证目标URI完整性 #

生成的客户端访问URI包含签名等敏感参数，需确保YARP未修改或截断这些参数，可添加日志确认：

var clientUri = await webPubSubServiceClient.GetClientAccessUriAsync(expiresAt, userId, cancellationToken: cancellationToken);
// 输出完整URI到日志，检查签名、userId等参数是否完整
logger.LogDebug("转发目标URI: {FullUri}", clientUri.ToString());
transformContext.ProxyRequest.RequestUri = clientUri;

4. 开启YARP详细日志定位错误 #

通过日志查看转发过程中的具体异常，修改appsettings.json配置：

{
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft.ReverseProxy": "Debug",
      "Microsoft.AspNetCore.Http.Connections": "Debug"
    }
  }
}

重点关注日志中是否存在DNS解析失败、SSL证书错误、请求超时等信息。

5. 检查网络连通性 #

确认服务器所在环境可正常访问Azure WebPubSub服务：

• 测试服务器到WebPubSub端点的443端口连通性
• 检查防火墙、NSG规则是否允许出站请求到Azure服务地址

关键注意点 #

• WebSocket中间件必须在UseReverseProxy之前注册，否则无法处理升级请求
• 不要修改客户端访问URI中的签名参数，转发时需完全保留原始URI
• 若使用自定义域名代理，需确保Host头处理逻辑正确，避免目标服务验证失败

内容的提问来源于stack exchange，提问作者BennyM