使用Azure Traffic Manager时无法unprotect message.state的原因排查

核心问题出在两个关键点 #

• 数据保护的应用隔离未统一：你目前只把密钥存到了Blob存储，但没给所有区域的实例设置统一的应用名称。不同区域的App Service默认会被当成独立的隔离边界，就算共用同一个密钥文件，也会因为没有统一的应用标识，导致跨实例无法识别密钥，自然解不开message.state。
• 区域时钟偏移触发过期验证失败：OpenID的message.state里带了过期时间戳，Azure不同区域的服务器时钟可能有细微偏差（哪怕是NTP同步，也可能有毫秒级差异）。当Traffic Manager把请求路由到不同区域的实例时，如果时钟偏差超过了state的默认过期窗口，就会直接触发“无法unprotect”的错误。

你的数据保护配置缺了关键项 #

当前代码只做了密钥持久化，少了两个必要配置：

1. 必须设置统一的应用名称：

   services.AddDataProtection()
       .SetApplicationName("你的全局应用名称") // 所有区域实例共用这个名称，打破隔离
       .PersistKeysToAzureBlobStorage(storageAccount, relativePath);
   

2. 建议给密钥加一层加密（可选但更安全）：
   如果Blob里的密钥文件没加密，跨区域访问可能遇到权限或一致性问题，用Azure Key Vault加密密钥能避免这类问题：

   services.AddDataProtection()
       .SetApplicationName("你的全局应用名称")
       .PersistKeysToAzureBlobStorage(storageAccount, relativePath)
       .ProtectKeysWithAzureKeyVault(new Uri("https://你的密钥库地址.vault.azure.net/keys/你的密钥"), 
                                    new DefaultAzureCredential());
   

其他可能的诱因 #

• Traffic Manager路由模式：如果用了“性能路由”，同一用户的请求可能被分到不同区域的实例。state是由发起请求的实例加密的，另一区域实例要是没正确加载对应密钥（或者因为隔离问题），解密就会失败。
• Blob存储的冗余类型：如果你的存储账户是本地冗余（LRS），跨区域的App Service读密钥文件时可能有延迟或一致性问题，换成异地冗余（GRS）能保证密钥在各区域都能及时读取到。

内容的提问来源于stack exchange，提问作者Maksym Shuldiner