如何配置OpenIddict使.well-known端点兼容CORS中间件？

核心问题：流程误解 + OpenIddict配置遗漏 #

你遇到的CORS问题本质是对授权码流（PKCE）的执行流程理解有误，同时OpenIddict认证服务器的配置缺少关键端点和客户端注册环节。

1. 流程误解：发现端点不需要AJAX调用 #

Blazor WASM使用OIDC授权码流时，.well-known/openid-configuration发现端点不应该通过AJAX请求触发。正常流程是：

• OIDC库会自动在浏览器上下文发起发现请求（属于同源导航环节，不是跨域AJAX）
• 后续授权请求通过浏览器重定向到认证服务器的授权端点，完成登录后再重定向回客户端，全程不会触发跨域AJAX，因此根本不需要为发现端点配置CORS。

如果你的客户端代码是手动通过AJAX调用发现端点，这是错误用法——AddOidcAuthentication会自动处理发现文档获取、授权跳转、token获取全流程，无需手动干预。

2. OpenIddict认证服务器的配置修正 #

你的认证服务器缺少以下关键配置：

2.1 启用发现端点与授权端点 #

OpenIddict默认不会暴露发现端点和授权端点，需要显式启用：

.AddServer(opt =>
{
    opt.EnableDegradedMode();
    opt.AddEphemeralEncryptionKey();
    opt.AddEphemeralSigningKey();
    opt.DisableAccessTokenEncryption();

    // 新增：设置issuer URI，必须与服务器地址完全一致
    opt.SetIssuer(new Uri("https://localhost:7120/"));

    // 启用授权码流所需的端点
    opt.AllowPasswordFlow();
    opt.AllowAuthorizationCodeFlow();
    opt.SetAuthorizationEndpointUris("connect/authorize"); // 新增授权端点
    opt.SetTokenEndpointUris("connect/token");
    opt.EnableDiscoveryEndpoint(); // 新增：启用发现端点

    opt.AddEventHandler<ValidateTokenRequestContext>(builder => builder.UseInlineHandler(context =>
    {
        // TODO: Add validation logic
        return default;
    }));
    opt.UseAspNetCore()
        .EnableTokenEndpointPassthrough();
})

2.2 注册客户端信息 #

OpenIddict要求必须注册客户端才能验证授权请求，测试环境可添加内存客户端配置：

.AddOpenIddict()
// ... 现有Server配置 ...
.AddClient(opt =>
{
    // 与客户端配置的ClientId保持一致
    opt.SetClientId("myClientId");
    // Blazor WASM默认的登录回调地址
    opt.SetRedirectUri("https://localhost:7098/authentication/login-callback");
    opt.SetPostLogoutRedirectUri("https://localhost:7098/authentication/logout-callback");
    opt.AllowAuthorizationCodeFlow();
    opt.UsePkce(); // 授权码流必须启用PKCE，Blazor WASM默认依赖此机制
    opt.AddSecret("test-secret-123"); // 测试用密钥，生产环境请使用安全存储方式
})

2.3 移除不必要的CORS配置（可选） #

既然发现端点和授权端点不需要AJAX调用，你可以移除针对这些端点的CORS配置——只有当token端点需要被后端服务调用时才需配置CORS，但Blazor WASM的授权码流中，token是由OIDC库在后台自动处理，无需前端AJAX调用token端点。

3. 客户端配置确认 #

你的客户端配置基本正确，只需确保：

• Authority与认证服务器地址完全一致（包含https://和端口）
• ClientId与认证服务器注册的客户端ID完全匹配
• 无需手动调用发现端点，AddOidcAuthentication会自动完成所有流程

总结 #

• 你遇到的CORS问题是因为错误地通过AJAX调用发现端点，正常授权码流不会触发这种跨域场景
• 修正认证服务器的端点配置和客户端注册后，OIDC库会自动处理发现、授权、token获取全流程，无需手动处理跨域

内容的提问来源于stack exchange，提问作者JeppeRip