如何为OWIN自托管WebAPI启用HTTPS？解决IDX21323错误

1. 绑定SSL证书 #

首先需要为自托管服务绑定SSL证书，分开发和生产两种场景：

• 开发环境（使用自签名证书）：
  以管理员权限打开PowerShell，执行以下命令生成证书：

  New-SelfSignedCertificate -DnsName "localhost" -CertStoreLocation "cert:\LocalMachine\My"
  

  复制证书的Thumbprint值，再执行命令绑定到指定端口：

  netsh http add sslcert ipport=0.0.0.0:44300 certhash=你的证书Thumbprint appid={任意GUID}
  

  注：appid可自行生成一个GUID，或使用项目的GUID。

• 生产环境（使用正式SSL证书）：
  将合规证书导入到LocalMachine\My证书存储，再用上述netsh命令完成端口与证书的绑定。

2. 修改OWIN启动配置 #

在Startup类中配置HTTPS地址，并添加强制HTTPS的中间件（可选）：

using Microsoft.Owin.Hosting;
using Owin;
using System.Net.Http.Formatting;

public class Startup
{
    public void Configuration(IAppBuilder app)
    {
        // 配置WebAPI路由
        var config = new HttpConfiguration();
        config.MapHttpAttributeRoutes();
        config.Routes.MapHttpRoute(
            name: "DefaultApi",
            routeTemplate: "api/{controller}/{id}",
            defaults: new { id = RouteParameter.Optional }
        );
        app.UseWebApi(config);

        // 强制所有请求跳转至HTTPS
        app.Use(async (context, next) =>
        {
            if (!context.Request.IsSecure)
            {
                var secureUrl = $"https://{context.Request.Uri.Host}{context.Request.Uri.PathAndQuery}";
                context.Response.Redirect(secureUrl);
                return;
            }
            await next();
        });
    }
}

// 启动自托管服务
class Program
{
    static void Main(string[] args)
    {
        // 指定HTTPS基础地址
        string baseAddress = "https://localhost:44300/";
        using (WebApp.Start<Startup>(baseAddress))
        {
            Console.WriteLine($"服务运行于 {baseAddress}");
            Console.ReadLine();
        }
    }
}

3. 适配OpenID Connect配置 #

针对你遇到的IDX21323错误，需确保OpenID Connect中间件的回调地址为HTTPS，且启用HTTPS元数据验证：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions
{
    ClientId = "你的客户端ID",
    Authority = "https://身份提供商地址/",
    RedirectUri = "https://localhost:44300/signin-oidc", // 必须为HTTPS地址
    RequireHttpsMetadata = true, // 生产环境必须设为true
    // 其他业务相关配置
});

4. 补充权限与防火墙设置 #

• 给运行服务的账户分配证书私钥读取权限：打开证书管理器，找到目标证书→右键「所有任务」→「管理私钥」，添加运行账户并授予读取权限。
• 若使用非标准HTTPS端口（如44300），需在防火墙中开放该端口的入站连接。

内容的提问来源于stack exchange，提问作者Tiny Wang