Blazor 8(Server Only)经YARP反向代理部署IIS后登录遇400错误求助

• 检查IIS反向代理（ARR）配置

  • 确认已安装并启用Application Request Routing模块
  • 验证URL重写规则是否完整传递X-Forwarded-For、X-Forwarded-Proto、X-Forwarded-Host请求头，这些是Blazor身份验证和防伪验证的关键依赖项
  • 确保重写规则未篡改请求方法（比如把POST意外转为GET）

• 配置Blazor应用的正向代理感知
  在Program.cs中添加正向代理支持，且要放在UseAuthentication之前：

  builder.Services.Configure<ForwardedHeadersOptions>(options =>
  {
      options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
      options.KnownProxies.Add(IPAddress.Parse("127.0.0.1")); // 适配本地IIS代理IP，按需调整
  });
  
  app.UseForwardedHeaders();
  app.UseAuthentication();
  

• 防伪令牌针对性排查

  • 显式配置防伪选项，适配代理环境：

    builder.Services.AddAntiforgery(options =>
    {
        options.Cookie.SameSite = SameSiteMode.Lax;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 仅HTTPS环境启用
        options.HeaderName = "X-CSRF-TOKEN";
    });
    

  • 检查浏览器中防伪Cookie的域、路径是否与IIS站点域名匹配，避免跨域拦截
  • 对比登录请求中携带的防伪令牌（Cookie或请求头）与服务器生成值是否一致（仅限开发环境调试使用）

• 调整IIS站点身份验证设置

  • 启用匿名身份验证，让Blazor自身处理身份验证逻辑，避免IIS接管
  • 禁用IIS的表单身份验证，防止与Blazor身份验证系统冲突

• 校验YARP配置细节
  确保appsettings.json中转发规则正确设置请求头转发：

  "ReverseProxy": {
      "Routes": {
          "blazorRoute": {
              "ClusterId": "blazorCluster",
              "Match": {
                  "Path": "{**catch-all}"
              },
              "Transforms": [
                  { "RequestHeader": "X-Forwarded-Proto", "Set": "https" }, // 按需切换HTTP/HTTPS
                  { "RequestHeader": "X-Forwarded-Host", "Set": "your-iis-domain.com" }
              ]
          }
      },
      "Clusters": {
          "blazorCluster": {
              "Destinations": {
                  "blazorApp": {
                      "Address": "http://localhost:5000" // Blazor应用实际运行地址
                  }
              }
          }
      }
  }
  

  同时确认YARP未丢失POST请求的请求体数据

• 启用详细日志追踪

  • 在Blazor应用appsettings.json中提高相关模块日志级别：

    "Logging": {
        "LogLevel": {
            "Microsoft.AspNetCore.Authentication": "Debug",
            "Microsoft.AspNetCore.Antiforgery": "Debug",
            "Microsoft.AspNetCore.HttpLogging": "Information"
        }
    }
    

  • 开启IIS的失败请求跟踪，捕获400错误的完整请求链路（包括头信息、请求体、服务器处理步骤）

• 检查HTTPS与Cookie配置

  • 若IIS使用HTTPS，确保Blazor应用Cookie设置Secure属性，避免被浏览器拦截
  • 验证IIS绑定是否统一（避免HTTP/HTTPS混合导致的Cookie域问题）

目前已有团队在生产环境成功运行Blazor 8全栈+YARP+IIS架构，核心是确保正向代理头传递完整、应用正确识别代理环境，同时避免IIS身份验证与Blazor自身逻辑冲突。

内容的提问来源于stack exchange，提问作者RWJ