反向代理下IDS4的signin-oidc请求中idsrv系列Cookie被拦截问题

问题原因 #

反向代理环境中，IdentityServer4（IDS4）默认会基于自身后端部署路径生成idsrv和idsrv.session Cookie的路径，但前端请求的是代理后的外部路径，导致Cookie路径与请求URL路径不匹配，被浏览器拦截。

具体解决步骤 #

• 统一Cookie路径为根路径
  在IDS4的服务配置中，强制将Cookie路径设置为/，这样所有子路径的请求都能匹配到该Cookie。以.NET 6+的Program.cs为例：

  services.AddIdentityServer(options =>
  {
      // 设置Cookie路径为根目录，适配代理后的所有请求路径
      options.Authentication.CookiePath = "/";
  })
  .AddInMemoryClients(Config.Clients)
  .AddInMemoryIdentityResources(Config.IdentityResources)
  .AddInMemoryApiScopes(Config.ApiScopes)
  .AddTestUsers(TestUsers.Users);
  

• 配置反向代理传递正确的转发头部
  确保反向代理（如Nginx、IIS ARR）将外部请求的路径、主机、协议等信息传递给IDS4。以Nginx为例，代理配置需添加：

  location / {
      proxy_pass http://your-ids4-backend:port;
      # 传递转发头部，让IDS4感知外部真实请求信息
      proxy_set_header X-Forwarded-Path $request_uri;
      proxy_set_header X-Forwarded-Host $host;
      proxy_set_header X-Forwarded-Proto $scheme;
  }
  

  同时在IDS4的启动代码中启用转发头部处理：

  // 放在UseIdentityServer之前
  app.UseForwardedHeaders(new ForwardedHeadersOptions
  {
      ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto | ForwardedHeaders.XForwardedHost
  });
  
  app.UseIdentityServer();
  

• 按需配置Cookie域名（跨子域名场景）
  如果反向代理后的域名与IDS4后端域名属于同一顶级域名（如auth.example.com和app.example.com），可统一设置Cookie的Domain属性，确保跨子域名共享：

  services.AddIdentityServer(options =>
  {
      options.Authentication.CookiePath = "/";
      options.Authentication.CookieDomain = ".example.com";
  })
  

补充说明 #

浏览器的Cookie规则要求：Cookie的路径必须是请求URL路径的前缀或完全匹配。反向代理下如果不做上述配置，IDS4生成的Cookie路径是自身内部路径（比如/idsrv），而前端请求的是/signin-oidc，两者路径无包含关系，浏览器就会拦截该Cookie不发送给服务器。虽然你当前能完成认证，但可能存在后续请求丢失Cookie的潜在问题，建议按上述步骤修复。

内容的提问来源于stack exchange，提问作者msdev52