ASP.NET Core Identity Server自身无法访问主机端点的解决方案问询

问题核心 #

你的场景是内网部署的Identity Server受网络限制：客户端可通过https://Company.com/.well-known/openid-configuration访问配置，但服务器自身无法通过该域名调用（反向代理+禁止自调用），导致服务启动或运行时频繁报“Unable to obtain configuration from URL”错误。

可行配置方案 #

要解决这个问题，核心是让Identity Server内部用localhost获取配置，对外给客户端暴露公网域名，具体配置如下：

1. 指定内部访问的配置地址 #

在ASP.NET Core 7.0的Identity Server服务注册代码中，强制服务自身使用localhost地址读取配置：

builder.Services.AddIdentityServer(options =>
{
    // 服务内部使用的颁发者标识
    options.IssuerUri = "https://localhost:5001";
    // 内部读取元数据的地址
    options.MetadataAddress = "https://localhost:5001/.well-known/openid-configuration";
    // 对外暴露的公网地址，确保客户端拿到的元数据是正确的域名
    options.PublicOrigin = "https://Company.com";
})
// 后续的AddInMemory/AddAspNetIdentity等配置保持不变
.AddInMemoryClients(Config.Clients)
.AddInMemoryIdentityResources(Config.IdentityResources)
.AddInMemoryApiScopes(Config.ApiScopes)
.AddAspNetIdentity<ApplicationUser>();

2. 反向代理与CORS配合 #

• 确保反向代理将https://Company.com的请求转发到localhost的Identity Server实例（端口根据实际部署调整）
• 配置Identity Server的CORS策略，允许https://Company.com域名的客户端请求：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowCompanyClient", policy =>
    {
        policy.WithOrigins("https://Company.com")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials();
    });
});

// 在中间件中启用CORS
app.UseCors("AllowCompanyClient");

安全验证要点 #

这种配置方式是安全的，只要确保以下几点：

• localhost访问仅内部生效：内网部署的服务器，localhost地址不会暴露到外部网络，不存在被外部攻击的风险
• 客户端拿到的元数据正确：通过PublicOrigin设置，客户端获取的OIDC配置中，所有端点地址都是https://Company.com，符合客户端的访问逻辑，不会出现验证错误
• Token验证一致性：Token的iss字段会被设置为https://Company.com（因为PublicOrigin的优先级高于IssuerUri），客户端验证Token时，颁发者标识与配置一致，不会出现验证失败
• 反向代理头部转发：确保反向代理配置了X-Forwarded-Proto、X-Forwarded-Host等头部，让Identity Server能正确识别客户端的真实请求上下文，避免因头部缺失导致的安全或功能问题

注意事项 #

• 测试时，先验证服务器自身能否通过https://localhost:xxx/.well-known/openid-configuration正常获取配置
• 客户端侧测试Token获取、验证流程，确保所有交互都通过https://Company.com完成，无异常

内容的提问来源于stack exchange，提问作者Amirreza