IdentityServer4中AllowedCorsOrigins的通配符支持问题

错误根源 #

你遇到的unauthorized_client错误，本质是Duende.IdentityServer的ValidatingClientStore会在加载客户端配置时，严格校验AllowedCorsOrigins中的每个值是否符合标准URI格式。带通配符的http://local*ost:4200不符合URI规范，导致校验失败，客户端被标记为无效——这一步发生在你自定义的ICorsPolicyService生效之前，所以即使你的CORS逻辑返回true也没用。

解决方案 #

方案一：清空AllowedCorsOrigins，完全依赖自定义CORS逻辑 #

这是最简洁的解决方式：

• 将客户端配置中的AllowedCorsOrigins设为空数组，或者直接移除该配置项。
• 由于你已经实现并注册了ICorsPolicyService，IdentityServer会优先使用你的自定义服务处理CORS校验，客户端配置里的Origin列表不再起作用，自然绕过了ValidatingClientStore的格式校验。

方案二：自定义客户端存储校验规则（允许通配符格式） #

如果必须保留AllowedCorsOrigins的配置，可以替换默认的ValidatingClientStore，修改校验逻辑：

1. 创建自定义客户端存储类，继承ValidatingClientStore并重写校验方法：

public class CustomValidatingClientStore : ValidatingClientStore
{
    public CustomValidatingClientStore(IClientStore innerStore, ILogger<ValidatingClientStore> logger)
        : base(innerStore, logger)
    {
    }

    protected override Task ValidateAsync(Client client)
    {
        // 先执行基类的其他校验逻辑
        var validationTask = base.ValidateAsync(client);
        
        // 移除AllowedCorsOrigins的格式校验错误
        validationTask.ContinueWith(t =>
        {
            client.ValidationErrors.RemoveAll(e => 
                e.StartsWith("AllowedCorsOrigins contains invalid origin:"));
        });
        
        return validationTask;
    }
}

2. 在Startup中注册自定义存储，替换默认实现：

services.AddIdentityServer()
    // 其他配置项...
    .AddClientStore<CustomValidatingClientStore>();

推荐方案 #

优先选择方案一，因为既然已经通过ICorsPolicyService接管了CORS校验，客户端配置里的AllowedCorsOrigins已经失去意义，清空它能避免不必要的校验冲突，逻辑更清晰。

内容的提问来源于stack exchange，提问作者ant