Azure Container Apps客户端定向登录遇IDX10205颁发者验证失败问题

背景 #

我们在使用Azure Container Apps时面临特殊身份验证需求：

• 所用OpenID Connect提供商要求，初始重定向到该提供商时，必须在查询字符串中添加登录应用特定租户的内容
• 该IDP仅支持authorization_code流程，不允许同时返回token和id_token

为此我们开发了中间件，处理逻辑如下：

1. 修改跳转URL后重定向至实际IDP，同时将redirect_uri设置为回调到中间件并携带authorization_token
2. 收到IDP回调后，向IDP发起请求，用code换取id_token和access_token

之后我们尝试通过Azure Container Apps的客户端导向登录方式获取authorization_token，并按要求将其作为HTTP头X-ZUMO-AUTH传入。

问题 #

当向Container Apps的.auth/login/<auth-provider-name>发起POST请求时，收到颁发者验证失败的401错误：

{
    "code": 401,
    "message": "IDX10205: Issuer validation failed. Issuer: '[PII is hidden]'. Did not match: validationParameters.ValidIssuer: '[PII is hidden]' or validationParameters.ValidIssuers: '[PII is hidden]'."
}

JWT中的颁发者是我们预期的IDP颁发者，但不清楚Azure Container Apps身份验证系统期望的颁发者是什么。

内容的提问来源于stack exchange，提问作者EinarI