基于AWS Linux 2 Elastic Beanstalk配置.NET应用的Nginx代理

一、修正Nginx转发头配置 #

Elastic Beanstalk Linux 2的Nginx有固定配置层级，你之前的路径方向是对的，但配置内容和位置需要调整：

方案1：全局代理头配置（推荐） #

在项目根目录创建路径 /.platform/nginx/config.d/proxy.conf，写入以下内容：

proxy_set_header X-Forwarded-Proto https;
proxy_set_header X-Forwarded-Ssl on;

这个文件会被Elastic Beanstalk默认的Nginx主配置自动引入，作用于所有代理请求，无需单独定义location块，避免和默认配置冲突。

方案2：覆盖默认应用location配置 #

如果需要更精细的控制，创建路径 /.platform/nginx/conf.d/elasticbeanstalk/00_application.conf，替换Elastic Beanstalk默认的应用转发配置，示例内容：

location / {
    proxy_pass          http://127.0.0.1:5000; # 替换为你的.NET应用监听端口
    proxy_http_version  1.1;

    proxy_set_header    Connection          $connection_upgrade;
    proxy_set_header    Upgrade             $http_upgrade;
    proxy_set_header    Host                $host;
    proxy_set_header    X-Real-IP           $remote_addr;
    proxy_set_header    X-Forwarded-For     $proxy_add_x_forwarded_for;
    proxy_set_header    X-Forwarded-Proto   https; # 强制设置为HTTPS
    proxy_set_header    X-Forwarded-Ssl     on;    # 标记SSL已启用
}

二、确认.NET应用的ForwardedHeaders配置顺序 #

你现有的代码逻辑正确，但必须将ForwardedHeaders配置放在所有业务中间件之前，否则转发头无法被正确识别：

var builder = WebApplication.CreateBuilder(args);

// 注册服务逻辑...

var app = builder.Build();

// 先配置ForwardedHeaders，这一步必须靠前
ForwardedHeadersOptions forwardedHeadersOptions = new ForwardedHeadersOptions()
{
    ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
};

forwardedHeadersOptions.KnownNetworks.Clear();
forwardedHeadersOptions.KnownProxies.Clear();

app.UseForwardedHeaders(forwardedHeadersOptions);

// 后续中间件按顺序添加
app.UseHttpsRedirection();
app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();

// 路由及业务配置...

app.Run();

清除KnownNetworks和KnownProxies是必要的，因为Elastic Beanstalk的代理IP是动态分配的，无法提前固定。

三、部署验证步骤 #

1. 将上述Nginx配置文件放入对应路径，和.NET代码一起打包部署到Elastic Beanstalk
2. 部署完成后，登录EC2实例，检查/etc/nginx/nginx.conf是否已引入你的配置片段
3. 测试登录流程，查看Identity Server日志，确认请求的X-Forwarded-Proto为https，且生成的回调URL是HTTPS协议

常见排查点 #

• 确认Elastic Beanstalk负载均衡器已配置HTTPS监听，并将流量转发到EC2的80端口（默认HTTP端口）
• 前端应用请求Identity Server时必须使用HTTPS地址，避免混合内容错误
• 查看Nginx日志：/var/log/nginx/access.log（访问日志）、/var/log/nginx/error.log（错误日志），检查转发头是否正确发送

内容的提问来源于stack exchange，提问作者Mark