ASP.NET Core MVC中Nginx反向代理转POST为GET致Token端点请求无效求助

核心问题：Nginx反向代理过程中错误地将发送至IdentityServer4 Token端点的POST请求转为GET，而Token端点仅接受POST请求，因此触发invalid_request异常与400错误。以下是针对性排查与修复步骤：

1. 修正Nginx重定向规则（关键） #

如果存在HTTP转HTTPS的重定向，禁止使用301/302状态码——这类重定向会自动将POST请求转为GET。需改用保留请求方法的307（临时重定向）或308（永久重定向）：

server {
    listen 80;
    server_name your-domain.com;

    # 保留POST方法的HTTPS重定向
    return 307 https://$server_name$request_uri;
}

2. 确保Nginx反向代理不篡改请求方法 #

检查反向代理的location配置，添加proxy_method $request_method强制保留原始请求方法，同时完善转发头信息：

location / {
    proxy_pass http://localhost:5000; # 替换为你的ASP.NET Core项目地址
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    
    # 强制保留原始请求方法，避免被Nginx修改
    proxy_method $request_method;
}

3. 配置ASP.NET Core识别反向代理转发头 #

在Program.cs中添加转发头配置，确保ASP.NET Core能正确识别Nginx转发的真实请求信息（包括请求方法）：

var builder = WebApplication.CreateBuilder(args);

// 配置转发头
builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    // 添加Nginx服务器的IP地址，防止伪造转发头（本地部署填127.0.0.1，服务器部署填Nginx的实际IP）
    options.KnownProxies.Add(IPAddress.Parse("127.0.0.1"));
});

// 其他服务配置（认证、MVC等）
builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = "Cookies";
    options.DefaultChallengeScheme = "oidc";
})
.AddCookie("Cookies")
.AddOpenIdConnect("oidc", options =>
{
    options.Authority = "https://your-identityserver-domain.com";
    options.ClientId = "your-mvc-client-id";
    options.ClientSecret = "your-client-secret";
    options.ResponseType = "code";
    options.SaveTokens = true;
    options.Scope.Add("openid");
    options.Scope.Add("profile");
});

var app = builder.Build();

// 必须在UseRouting之前调用UseForwardedHeaders
app.UseForwardedHeaders();

app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

app.Run();

4. 验证IdentityServer4客户端配置 #

确认客户端的授权类型与请求方式匹配，例如Authorization Code流程的客户端需确保配置正确：

// IdentityServer4的客户端配置示例
new Client
{
    ClientId = "your-mvc-client-id",
    ClientSecrets = { new Secret("your-client-secret".Sha256()) },
    AllowedGrantTypes = GrantTypes.Code, // 对应POST请求的Token端点调用
    RedirectUris = { "https://your-mvc-domain.com/signin-oidc" },
    PostLogoutRedirectUris = { "https://your-mvc-domain.com/signout-callback-oidc" },
    AllowedScopes = { "openid", "profile" }
}

验证修复 #

1. 重启Nginx与ASP.NET Core服务
2. 触发认证流程，查看IdentityServer4日志确认Token端点接收到的是POST请求
3. 检查ASP.NET Core日志是否不再抛出OpenIdConnectProtocolException

内容的提问来源于stack exchange，提问作者Elias Bui