绑定特定IP到IIS后ASP.NET Core MVC登录功能故障排查

在IIS中将ASP.NET Core MVC Web应用绑定到特定IP地址后，登录功能出现异常。已尝试修改appsettings.json中Hashing节点的ValidIssuer和ValidAudience为服务器IP，但问题仍未解决。

结合提供的代码，可能的故障原因包括以下几点：

• Token生成与验证的Issuer/Audience不匹配：登录Action中调用的GenerateToken方法未提供代码，但如果该方法生成JWT时仍使用旧的localhost地址作为Issuer/Audience，即便appsettings.json已修改为服务器IP，验证环节仍会失败。
• Cookie的Secure属性配置错误：登录Action中设置Cookie的Secure = true，若服务器未配置HTTPS（仅用HTTP绑定IP），浏览器会拒绝发送该Cookie，导致后续请求无法携带Token完成验证。
• HSTS强制跳转冲突：生产环境下启用了UseHsts()，若服务器未配置HTTPS，HSTS会强制跳转至HTTPS，导致请求异常。
• IIS绑定的主机头与请求不匹配：若IIS仅绑定了特定IP但未设置正确的主机头，应用接收到的请求主机可能与Token中的Issuer/Audience不匹配，引发验证失败。

针对上述问题，按以下步骤配置以确保登录功能正常运行：

1. 确保Token生成与验证的Issuer/Audience一致 #

检查GenerateToken方法的实现，确保其使用appsettings.json中配置的Hashing:ValidIssuer和Hashing:ValidAudience生成Token，示例实现如下：

private string GenerateToken(LoginModel login)
{
    var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(config["Hashing:SecretKey"]));
    var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);

    var token = new JwtSecurityToken(
        issuer: config["Hashing:ValidIssuer"],
        audience: config["Hashing:ValidAudience"],
        claims: new List<Claim>
        {
            new Claim(ClaimTypes.Email, login.Email),
            new Claim(ClaimTypes.Role, login.Role)
        },
        expires: DateTime.Now.AddDays(5),
        signingCredentials: credentials);

    return new JwtSecurityTokenHandler().WriteToken(token);
}

2. 调整Cookie的Secure属性配置 #

根据服务器是否启用HTTPS修改Cookie设置：

• 若服务器使用HTTP：将Secure = true改为Secure = false
• 若服务器使用HTTPS：保持Secure = true
  同时可将SameSite改为Lax，避免跳转后Cookie丢失：

Response.Cookies.Append("system_gen_access_token", token, new CookieOptions
{
    HttpOnly = true,
    SameSite = SameSiteMode.Lax,
    Secure = false, // 根据实际HTTPS配置调整
    Expires = DateTime.Now.AddDays(5),
});
Response.Cookies.Append("uid", hashedCookie, new CookieOptions
{
    HttpOnly = true,
    SameSite = SameSiteMode.Lax,
    Secure = false, // 根据实际HTTPS配置调整
    Expires = DateTime.Now.AddDays(5),
});

3. 调整HSTS配置 #

若服务器未配置HTTPS，在Program.cs中注释或移除UseHsts()：

// app.UseHsts(); // 未配置HTTPS时禁用

4. 正确配置IIS绑定 #

• 在IIS中绑定特定IP时，确保同时设置正确的主机头（若使用域名）或直接绑定IP+端口
• 确保appsettings.json中的AllowedHosts设置为*或具体的服务器IP/域名，避免请求被拒绝

5. 启用验证日志排查 #

在Program.cs中添加JWT验证日志，便于定位问题：

builder.Logging.AddConsole();
builder.Logging.AddDebug();

// 在AddJwtBearer中添加日志事件
.AddJwtBearer(options =>
{
    options.Events = new JwtBearerEvents
    {
        OnAuthenticationFailed = context =>
        {
            Console.WriteLine($"Authentication failed: {context.Exception.Message}");
            return Task.CompletedTask;
        },
        OnMessageReceived = context =>
        {
            context.Token = context.Request.Cookies["system_gen_access_token"];
            return Task.CompletedTask;
        }
    };
    // 其他配置...
});

完成上述配置后，重启IIS站点和应用程序池，测试登录功能。若仍有问题，查看应用日志中的验证错误信息，进一步定位具体原因。

内容的提问来源于stack exchange，提问作者mat mat