Docker容器IIS上的Classic ASP应用经Azure应用网关访问时MAC验证失败

核心解决方案：固定MachineKey #

这个错误的本质是ASP.NET的ViewState验证依赖MachineKey，而Docker容器重启、App Service多实例场景下自动生成的MachineKey会变化，加上Application Gateway的转发，导致验证不通过。以下是Docker环境下的两种配置方式：

1. 修改应用web.config #

直接在应用的web.config中添加固定的machineKey节点，放在<system.web>区块内：

<system.web>
  <machineKey 
    validationKey="替换为生成的64位密钥" 
    decryptionKey="替换为生成的32位密钥" 
    validation="SHA1" 
    decryption="AES" />
  <!-- 保留原有其他配置 -->
</system.web>

可以用PowerShell生成安全的密钥：

# 生成validationKey（64字节）
[System.Web.Security.MachineKey]::GenerateKey(64)
# 生成decryptionKey（32字节）
[System.Web.Security.MachineKey]::GenerateKey(32)

将修改后的web.config打包进Docker镜像，或者通过Azure App Service的持久存储挂载到容器中。

2. 通过Dockerfile配置IIS全局MachineKey #

如果不想修改应用自身的配置文件，可以在Dockerfile中使用appcmd命令给IIS站点设置MachineKey：

FROM mcr.microsoft.com/dotnet/framework/aspnet:4.8-windowsservercore-ltsc2019

# 复制应用代码到容器的IIS根目录
COPY ./your-classic-asp-app/ /inetpub/wwwroot/

# 配置固定MachineKey到默认站点
RUN %windir%\system32\inetsrv\appcmd set config "Default Web Site" /section:system.web/machineKey ^
    /validationKey:"你的64位validationKey" ^
    /decryptionKey:"你的32位decryptionKey" ^
    /validation:SHA1 ^
    /decryption:AES

容器启动时会自动完成IIS的MachineKey配置，无需改动应用文件。

额外排查优化点 #

• Application Gateway配置检查：确保AG的转发规则透传所有必要请求头（如Host、Cookie相关头），开启后端设置中的「Cookie一致性」选项，避免AG修改或丢失会话相关内容。
• App Service实例一致性：如果App Service启用了自动缩放，多实例必须使用相同的MachineKey，否则跨实例访问时会触发验证错误。
• Classic ASP会话验证：若应用纯为Classic ASP却出现该错误，大概率是页面嵌入了ASP.NET控件（如登录控件），此时仍需配置MachineKey；同时建议将Classic ASP会话状态从InProc改为SQL Server会话存储，确保跨容器/实例的会话一致性。

内容的提问来源于stack exchange，提问作者Aditya Ch