IdentityServer4中Google/Microsoft认证偶发500错误排查及升级咨询

在IdentityServer4中，Google与Microsoft认证服务偶发500错误，具体表现为/signin-google和/signin-microsoft接口返回500错误，当前运行情况：

• 每分钟约3000次请求
• 其中约80次返回500错误
• 其余请求均返回301

请问：

1. 该问题的可能原因是什么？
2. 是否与访问量过大或外部认证服务有关？
3. 升级至IdentityServer6并注册许可证能否解决此问题？

Startup.cs #

public class Startup
{
    public Startup(IConfiguration configuration)
    {
        Configuration = configuration;
        AppSettings.Configuration = configuration;
    }

    public IConfiguration Configuration { get; }
    
    // This method gets called by the runtime. Use this method to add services to the container.
    public void ConfigureServices(IServiceCollection services)
    {

        services.AddIdentityServer(options =>
        {
            options.Caching.ClientStoreExpiration = TimeSpan.FromMinutes(60);
            options.Caching.ResourceStoreExpiration = TimeSpan.FromMinutes(60);
            options.Caching.CorsExpiration = TimeSpan.FromMinutes(60);
        })
            .AddRedirectUriValidator<RedirectUriValidator>()
            .AddInMemoryCaching()
            .AddInMemoryIdentityResources(new IdentityResource[]
            {
                new IdentityResources.OpenId(),         // OIDC認証を使用 
                new IdentityResources.Profile(),
            })
            .AddInMemoryApiScopes(new ApiScope[]
            {
                new ApiScope(IdentityServerConstants.LocalApi.ScopeName),
            })
            .AddInMemoryPersistedGrants()
            .AddInMemoryCaching()
            .AddInMemoryClients(Configuration.GetSection("Clients"))
            .AddDeveloperSigningCredential()
            .AddAspNetIdentity<User>();

        services.ConfigureApplicationCookie(config =>
        {
            config.LoginPath = "/Web/User/Login";
            config.LogoutPath = "/Web/User/Logout";
            config.ExpireTimeSpan = TimeSpan.FromSeconds(Common.LoginTimeoutSeconds);
        });

        services.AddAuthentication(options =>
        {
            options.DefaultScheme = IdentityConstants.ApplicationScheme;
            options.DefaultSignInScheme = IdentityConstants.ExternalScheme;
        })
        .AddJwtBearer(options =>
        {
            options.SaveToken = true;
            options.RequireHttpsMetadata = false;
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = false,
                ValidateAudience = false,
                ValidateIssuerSigningKey = true,
                IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Common.TokenCreateKey)),
                ClockSkew = TimeSpan.Zero,
            };
        }).AddGoogle(options =>
        {
            options.SignInScheme = IdentityServerConstants.ExternalCookieAuthenticationScheme;
            options.ClientId = Configuration.GetValue<string>("GoogleClient:ClientId");
            options.ClientSecret = Configuration.GetValue<string>("GoogleClient:ClientSecret");
        }).AddMicrosoftAccount(options =>
        {
            options.SignInScheme = IdentityServerConstants.ExternalCookieAuthenticationScheme;
            options.ClientId = Configuration.GetValue<string>("MicrosoftClient:ClientId");
            options.ClientSecret = Configuration.GetValue<string>("MicrosoftClient:ClientSecret");
        });

        services.AddLocalApiAuthentication();
    }

    // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
    public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
    {
        app.UseHttpsRedirection();
        app.UseStaticFiles();
        app.UseRouting();
        app.UseAuthorization();
        app.UseAuthentication(); 
        app.UseIdentityServer();
        app.UseEndpoints(endpoints =>
        {
            endpoints.MapControllerRoute(
                name: "default",
                pattern: "{controller=Home}/{action=Index}/{id?}");
        });
    }
}

一、可能的原因 #

• 外部认证服务不稳定：Google或Microsoft的授权服务可能偶发超时、限流或内部故障，导致回调请求无法正常处理，触发500错误。
• 回调状态验证失败：外部认证流程中依赖state参数（存储在cookie中）完成请求校验，若cookie丢失、过期，或集群环境下session未共享，会导致state验证失败抛出错误。
• 内存存储的高并发瓶颈：当前使用AddInMemoryPersistedGrants()、AddInMemoryClients()等内存存储方案，在每分钟3000次请求的高并发场景下，容易出现资源竞争、数据不一致或内存溢出问题，引发错误。
• 中间件顺序错误：Configure方法中UseAuthorization()在UseAuthentication()之前执行，会导致授权检查先于认证逻辑完成，引发未预期的权限错误。
• 开发者签名凭证不适合生产：AddDeveloperSigningCredential()仅用于开发环境，生产环境下多实例部署或服务重启会导致签名密钥不一致，干扰外部认证流程。

二、与访问量及外部服务的关联 #

• 访问量过大：高并发会加剧内存存储的性能瓶颈，消耗服务器CPU、内存资源，甚至耗尽线程池；同时，大量请求可能触发Google/Microsoft的请求频率限制，导致回调失败。
• 外部认证服务：是偶发错误的潜在原因之一，第三方服务的网络波动、临时降级都会导致回调接口收到异常响应，进而返回500错误。

三、升级至IdentityServer6的作用 #

升级到IdentityServer6（Duende IdentityServer）并注册许可证不能直接解决所有问题：

• 如果错误由外部服务不稳定、中间件顺序错误、内存存储选型不当导致，升级无法直接修复这些问题，需要先针对性调整配置（比如改用分布式存储、修正中间件顺序）。
• 若当前问题源于IdentityServer4本身的bug或性能瓶颈，IS6的性能优化、官方支持、完善的集群方案可能会改善情况，但前提是先解决现有配置中的明显问题。

内容的提问来源于stack exchange，提问作者長谷竜弥