部署QuickApp至IIS遇401 invalid_token错误，寻求排查方案

核心排查点 #

1. IdentityServer4 客户端配置校验 #

• 检查 appsettings.json 中 IdentityServer.Clients 下的 AllowedCorsOrigins、RedirectUris、PostLogoutRedirectUris，必须与IIS部署的前端站点地址完全匹配（包括协议、域名、端口，比如http://localhost:8080，不能只写localhost）
• 确认AllowedGrantTypes与前端使用的授权类型一致（比如authorization_code、password等），AllowedScopes包含API所需的范围

2. Token 签名证书配置 #

• 开发环境默认使用临时内存证书，部署到IIS后必须配置持久化证书：
  • 检查appsettings.json中IdentityServer.Key节点，是否指定了文件证书（FilePath）或机器存储证书（StoreName、StoreLocation、Name）
  • 若证书配置错误，每次应用池重启或回收都会生成新的临时密钥，导致旧token验证失败，前端被迫重复获取新token，表现为token持续变化

3. IIS 应用池配置 #

• 确认应用池的.NET CLR版本设置为无托管代码（ASP.NET Core应用依赖自身运行时，无需IIS托管）
• 检查应用池标识权限：若使用文件证书，需确保标识有证书文件的读取权限
• 关闭或延长应用池闲置超时时间，避免应用频繁重启导致IdentityServer密钥重置

4. 前端 Angular OAuth 配置 #

• 检查生产环境配置文件（environment.prod.ts）中的issuer地址，必须指向IIS部署的IdentityServer站点，而非开发环境的localhost:5000
• 确认redirectUri、postLogoutRedirectUri与IdentityServer客户端配置完全一致，否则前端会因授权回调失败重复发起授权请求，导致token持续变化

5. Token 生命周期与刷新逻辑 #

• 检查appsettings.json中IdentityServer.TokenLifetimes.AccessTokenLifetime，若设置过短（比如小于5分钟），会导致前端频繁刷新token
• 排查前端刷新token逻辑：若刷新失败后直接触发重新登录，也会出现token持续变化的情况

6. 日志与请求细节排查 #

• 开启IdentityServer4的Debug级日志：在Program.cs中配置Logging.LogLevel.IdentityServer = LogLevel.Debug，查看应用日志中token验证失败的具体原因（如签名不匹配、issuer无效、audience不匹配等）
• 抓包对比开发环境与IIS环境的请求：确认前端发送的token是否正确，IIS是否转发了完整的Authorization请求头，有无被重写规则修改

需补充的信息 #

• IdentityServer4客户端配置片段（appsettings.json中Clients节点）
• 前端生产环境的OAuth配置（environment.prod.ts中的auth相关配置）
• IIS站点的绑定地址、端口及HTTP/HTTPS配置
• IIS应用池的核心配置（.NET CLR版本、标识、闲置超时）
• IdentityServer4的密钥配置（appsettings.json中IdentityServer.Key节点）
• IdentityServer4及IIS事件日志中的错误详情

内容的提问来源于stack exchange，提问作者user3602859