部署IIS后Client Application(Core3.1)无法重定向至IdentityServer4(Core3.1)求助

从你给出的异常栈来看，核心问题是SSL证书验证失败，导致客户端无法获取Identity Server的OIDC配置文档。下面是我整理的常见原因和对应的解决办法：

一、SSL证书相关问题 #

这是最常见的根源，优先从这里排查：

• 证书不受信任：如果Identity Server用的是自签名证书，客户端服务器的系统信任根里没有这个证书，就会触发验证失败。
• 证书域名不匹配：证书的CN（通用名称）或SAN（主题备用名称）字段和Identity Server的实际域名不一致，比如证书是localhost但部署后用的是example.com。
• 证书安装位置错误：证书必须安装在本地计算机的「个人」证书存储里，而不是当前用户的存储，否则IIS无法正确加载。

解决步骤： #

1. 打开IIS管理器，找到Identity Server的站点，右键选择「编辑绑定」，查看HTTPS绑定的证书，双击证书检查：
   • 「常规」标签确认证书未过期、状态正常；
   • 「详细信息」标签查看「主题」和「主题备用名称」是否和部署的域名一致。
2. 如果是自签名证书：
   • 在Identity Server服务器上导出证书为.cer格式（无需带私钥）；
   • 把.cer文件复制到客户端服务器，右键选择「安装证书」，选择「本地计算机」，然后导入到「受信任的根证书颁发机构」存储中。

二、IIS配置问题 #

• HTTPS绑定的证书选错：确认Identity Server站点的HTTPS绑定用的是正确的证书，而非其他过期或不匹配的证书。
• TLS版本不兼容：.NET Core 3.1默认要求TLS 1.2及以上，如果IIS没有启用TLS 1.2，会导致SSL握手失败。

解决步骤： #

1. 检查IIS站点的HTTPS绑定，确保选择的是正确的有效证书。
2. 启用TLS 1.2（适用于Windows服务器）：
   • 打开注册表编辑器，导航到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server；
   • 如果没有这个路径，手动创建对应的项；
   • 创建两个DWORD值：Enabled设为1，DisabledByDefault设为0；
   • 重启服务器生效。

三、客户端应用配置问题 #

• Authority地址配置错误：客户端appsettings.json里的Authority地址拼写错误，比如多了末尾斜杠、域名写错，导致请求的OIDC配置地址无效。
• 未处理自签名证书（测试环境）：测试环境用自签名证书时，客户端默认会验证证书，需要临时跳过验证（生产环境绝对禁止）。

解决步骤： #

1. 确认appsettings.json中的Authority地址正确，比如：

   "Authentication": {
     "OpenIdConnect": {
       "Authority": "https://your-identity-server-domain/IdentityServer",
       // 其他配置...
     }
   }
   

   注意不要在末尾加斜杠，确保能正常访问https://your-identity-server-domain/IdentityServer/.well-known/openid-configuration。
2. 测试环境临时跳过证书验证：
   在客户端的Startup.cs中，配置OpenIdConnect时添加Backchannel的证书验证回调：

   services.AddAuthentication(options =>
   {
       options.DefaultScheme = "Cookies";
       options.DefaultChallengeScheme = "oidc";
   })
   .AddCookie("Cookies")
   .AddOpenIdConnect("oidc", options =>
   {
       options.Authority = Configuration["Authentication:OpenIdConnect:Authority"];
       options.ClientId = "your-client-id";
       options.ClientSecret = "your-client-secret";
       options.ResponseType = "code";
       
       // 仅测试环境使用，生产环境删除这行
       options.BackchannelHttpHandler = new HttpClientHandler
       {
           ServerCertificateCustomValidationCallback = HttpClientHandler.DangerousAcceptAnyServerCertificateValidator
       };
   });
   

最后提醒 #

生产环境一定要使用受信任的CA颁发的SSL证书，不要跳过证书验证，否则会带来严重的安全风险。

内容的提问来源于stack exchange，提问作者Sarvesh