如何在Identity Server中使用HTTP完成用户认证？遇认证失败求助

以下是针对你遇到的问题的排查和解决步骤：

• 调整认证Cookie的SameSite配置
  当使用HTTP协议时，SameSiteMode.None会被浏览器忽略（该模式要求Cookie的Secure属性为true），导致Cookie无法正常携带。将SameSite设置为SameSiteMode.Lax或SameSiteMode.Unspecified，确保浏览器在HTTP请求中能正确传递认证Cookie：

  services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
      .AddCookie(options =>
      {
          options.Cookie.SecurePolicy = CookieSecurePolicy.None;
          options.Cookie.SameSite = SameSiteMode.Lax;
          options.Cookie.HttpOnly = true;
          // 保持其他必要配置
      });
  

• 确认中间件顺序正确
  认证中间件的加载顺序直接影响功能生效，确保UseAuthentication和UseAuthorization的位置符合要求：

  app.UseRouting();
  app.UseAuthentication(); // 必须在UseAuthorization之前
  app.UseAuthorization();
  app.UseEndpoints(endpoints =>
  {
      endpoints.MapControllers();
      // 其他端点配置
  });
  

• 关闭HTTPS元数据要求
  如果你的认证方案依赖OpenID Connect或JWT，检查是否启用了RequireHttpsMetadata，在HTTP环境下需要将其设为false：

  services.AddAuthentication()
      .AddOpenIdConnect(options =>
      {
          options.RequireHttpsMetadata = false;
          // 其他OIDC配置
      });
  

• 检查浏览器Cookie状态
  打开浏览器开发者工具（F12），切换到Application标签页，查看Cookies列表：

  • 确认是否存在对应的认证Cookie（默认名称为.AspNetCore.Identity.Application）
  • 检查Cookie的Secure属性是否为false，Domain和Path是否与当前应用匹配
  • 如果Cookie未被设置，排查登录逻辑中SignInAsync是否正确执行，用户身份信息是否有效

• 清理冗余HTTPS配置

  • 确保launchSettings.json中的applicationUrl仅配置HTTP地址（例如http://localhost:5000），移除HTTPS相关的URL
  • 检查是否有其他强制HTTPS的代码或配置（如[RequireHttps]特性），临时注释或删除

• 处理反向代理/负载均衡场景
  如果应用部署在反向代理或负载均衡之后，需确保转发的头信息正确，让ASP.NET Core识别当前协议为HTTP：

  app.UseForwardedHeaders(new ForwardedHeadersOptions
  {
      ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
  });
  

  同时在代理服务器中配置X-Forwarded-Proto为http。

内容的提问来源于stack exchange，提问作者ramu yepuganti