Identity Server 4搭配Azure Front Door登录时重定向至错误域名问题

核心原因 #

Azure Front Door作为反向代理时，后端App Service默认收到的请求头可能包含App Service的内部域名，导致IdentityServer4生成重定向地址时使用了内部域名而非自定义域名。需要通过配置让ASP.NET Core和IdentityServer4正确识别前端的真实请求域名。

具体解决步骤 #

1. 配置ASP.NET Core处理反向代理转发头 #

在Program.cs中启用ForwardedHeaders中间件，让应用信任Azure Front Door的转发请求，并正确获取真实的请求协议和域名：

builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    // 启用转发的For和Proto头，用于识别真实客户端IP和请求协议
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    // 信任Azure Front Door的IP段（可根据Azure官方文档更新）
    options.KnownNetworks.Add(new IPNetwork(System.Net.IPAddress.Parse("13.107.6.152"), 29));
    options.KnownNetworks.Add(new IPNetwork(System.Net.IPAddress.Parse("13.107.64.0"), 18));
});

// 必须在UseRouting之前调用UseForwardedHeaders
app.UseForwardedHeaders();
app.UseRouting();

也可以通过App Service应用设置简化配置：在App Service的配置>应用设置中添加ASPNETCORE_FORWARDEDHEADERS_ENABLED，值设为true，这会自动处理转发头配置。

2. 显式指定IdentityServer4的公共域名 #

在IdentityServer4的配置中强制设置PublicOrigin，确保所有生成的重定向、授权地址都使用自定义域名：

builder.Services.AddIdentityServer(options =>
{
    // 替换为你的自定义登录域名
    options.PublicOrigin = "https://signin.xxx.com";
})
// 后续的AddInMemoryClients、AddAspNetIdentity等配置保持不变
.AddInMemoryClients(Config.Clients)
.AddInMemoryIdentityResources(Config.IdentityResources)
.AddInMemoryApiScopes(Config.ApiScopes)
.AddAspNetIdentity<ApplicationUser>();

如果需要多环境适配，可以从appsettings.json读取配置：

{
  "IdentityServer": {
    "PublicOrigin": "https://signin.xxx.com"
  }
}

对应代码修改为：

options.PublicOrigin = builder.Configuration["IdentityServer:PublicOrigin"];

3. 检查Azure Front Door路由配置 #

• 在Front Door的路由规则中，将转发主机头设置为前端主机或自定义域名signin.xxx.com，确保后端App Service收到的Host头是前端的真实域名。
• 确保转发协议设置为仅HTTPS，避免协议不一致导致的重定向问题。

4. 验证配置 #

部署修改后的应用后，访问https://signin.xxx.com，检查重定向地址是否为https://signin.xxx.com/SALogin，且域名未被替换为App Service的内部域名。

内容的提问来源于stack exchange，提问作者Radosław Makowski