.NET 6应用部署至Kamatera Linux云后登录返回401且User.Claims为空

核心问题定位 #

后端User.Claims为空，说明Bearer Token未被正确传递到后端，或后端无法正确解析Token。本地集群无HaProxy时运行正常，Kamatera环境新增的HaProxy是关键差异，优先排查反向代理的请求头转发逻辑。

排查与解决步骤 #

1. 检查HaProxy的请求头转发配置 #

HaProxy默认可能不会完整转发所有请求头，需确保Authorization头被正确传递到后端Web服务器：

• 编辑HaProxy配置文件（通常路径为/etc/haproxy/haproxy.cfg）
• 在对应backend或frontend块中添加以下配置，强制转发Authorization头：

backend web_servers
    server web1 <web1服务器IP>:80 check
    server web2 <web2服务器IP>:80 check
    # 强制转发Authorization请求头
    http-request set-header Authorization %[req.hdr(Authorization)]
    # 可选：转发真实客户端IP，避免后端认证逻辑因IP问题拦截
    option forwardfor header X-Forwarded-For

• 重启HaProxy使配置生效：sudo systemctl restart haproxy

2. 验证Angular拦截器是否正确添加Authorization头 #

虽然本地环境正常，但云环境下请求URL的同源判断可能失效：

• 在processRequestWithToken方法中添加调试日志，确认Token和请求URL的匹配情况：

private processRequestWithToken(token: string, req: HttpRequest<any>, next: HttpHandler) {
    console.log(`Token存在: ${!!token}, 请求URL: ${req.url}`);
    console.log(`是否同源: ${this.isSameOriginUrl(req)}`);
    if (!!token && this.isSameOriginUrl(req)) {
      req = req.clone({        
        setHeaders: {
          Authorization: `Bearer ${token}`
        }
      });
      console.log(`修改后的请求头:`, req.headers);
    }
    // 原有代码保持不变
}

• 打开浏览器控制台，查看登录后的请求是否携带Authorization: Bearer <token>头。如果未携带，检查isSameOriginUrl函数是否匹配HaProxy的访问域名（比如前端访问HaProxy域名时，相对路径请求是否被正确识别为同源）。

3. 检查.NET后端的认证中间件配置 #

确保Program.cs（或Startup.cs）中的JWT/IdentityServer认证配置正确，多服务器环境下密钥需同步：

• 确认认证中间件顺序：app.UseAuthentication()必须在app.UseAuthorization()之前执行
• 检查JWT验证参数，确保Issuer、Audience、密钥与IdentityServer完全一致：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = "https://你的IdentityServer地址";
        options.Audience = "你的API资源名称";
        // 对称密钥场景：确保所有Web服务器使用相同密钥
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:SecretKey"]))
        };
    });

• 若使用IdentityServer，确保后端配置了正确的ApiResource和Client，且对称/非对称密钥在所有Web服务器和IdentityServer上保持一致。

4. 检查NGINX的请求头转发配置 #

后端Web服务器的NGINX需确保将Authorization头转发到.NET应用：

• 编辑NGINX站点配置（通常在/etc/nginx/sites-available/目录下）
• 在location块中添加以下配置：

location / {
    proxy_pass http://localhost:5000; # .NET应用的监听地址
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    # 确保转发Authorization请求头
    proxy_set_header Authorization $http_authorization;
}

• 重启NGINX使配置生效：sudo systemctl restart nginx

5. 验证Token本身的有效性 #

• 从浏览器控制台获取登录后的Token（可从localStorage或sessionStorage中读取）
• 用.NET代码解析Token，确认包含NameIdentifier Claim，且签名、Issuer、Audience均有效：

var handler = new JwtSecurityTokenHandler();
var jwtToken = handler.ReadJwtToken(token);
var nameId = jwtToken.Claims.FirstOrDefault(c => c.Type == ClaimTypes.NameIdentifier)?.Value;
Console.WriteLine($"NameIdentifier: {nameId}");
Console.WriteLine($"Token是否有效: {handler.CanReadToken(token)}");

6. 排查HTTPS重定向导致的头丢失 #

如果Kamatera环境启用了HTTPS，需确保重定向过程中不会丢失Authorization头：

• 检查HaProxy是否将HTTPS请求转发到后端HTTP时，未触发不必要的301/302重定向
• 配置.NET应用识别反向代理的HTTPS请求：

builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    // 添加HaProxy的IP到允许列表
    options.KnownProxies.Add(IPAddress.Parse("<HaProxy服务器IP>"));
});
// 在管道中启用转发头处理
app.UseForwardedHeaders();

内容的提问来源于stack exchange，提问作者Tony