Blazor Server（.NET Core 6）集成Keycloak的Cookie处理问题排查求助

环境架构 #

• 采用反向代理架构：中心Nginx接收Jenkins、JupyterHub、SonarQube、Discourse等服务请求，通过内部IP别名映射拦截https://hub.domain.eu类URL
• Nginx将请求解析至https://dsc.domain.eu，转发至运行在Kestrel端口5001的.NET Core 6 Blazor Server应用，两端均启用SSL以支持WebSocket
• Blazor应用作为服务枢纽，通过类iframe方式托管上述服务；所有服务接入同一Keycloak OpenID服务器，未引入Blazor时运行正常

触发异常的场景 #

1. 用户通过Keycloak登录页重定向登录后，Blazor控件显示已认证，其他服务也处于登录状态；但关闭标签页重新打开后，Blazor显示未登录，Jenkins等服务仍保留登录状态，此时点击登录链接会出现Nginx 502错误，清理Cookie或从其他服务登出后恢复正常
2. 用户在Jenkins、SonarQube等服务页按F5刷新，部分服务（如SonarQube）出现404错误；返回/刷新Blazor应用时，应用再次显示未登录

补充细节 #

• 即使设置SaveTokens = false，仍会出现大头部错误导致token为空，但可从httpContext获取用户信息
• Nginx error.log与Kestrel均无错误记录（部署于Linux）
• 将触发502错误的登录链接复制到干净浏览器可正常运行
• 已适配Nginx配置以支持大头部与WebSocket

排查方向建议 #

Cookie相关排查 #

• 检查Blazor应用与其他服务的Cookie域设置：确认Keycloak颁发的Cookie域是否为.domain.eu（顶级公共域），避免Blazor的Cookie被限制在dsc.domain.eu而无法在hub.domain.eu下读取
• 对比Blazor与其他服务的Cookie路径、SameSite属性：Blazor作为枢纽应用，Cookie路径需设置为/，SameSite建议设为Lax或None（需配合Secure），避免跨子域时Cookie无法携带
• 查看Cookie的过期时间与持久化属性：确认Blazor使用的认证Cookie是否设置了IsPersistent = true，避免关闭标签页后Cookie丢失
• 检查Cookie总大小：大头部错误提示可能是Cookie总大小超出浏览器或Nginx的限制，可通过浏览器开发者工具查看所有Cookie的总大小，尝试减少不必要的Claims或启用Cookie压缩

OpenID Connect配置排查 #

• 验证Blazor的OIDC回调地址：确认CallbackPath是否正确指向https://hub.domain.eu/signin-oidc（而非dsc.domain.eu），反向代理需正确转发回调请求的Host头
• 检查ForwardedHeaders配置：在Blazor的Program.cs中确保启用了ForwardedHeaders，并配置正确的已知代理地址，避免应用获取到错误的请求源地址导致认证Cookie失效
• 查看会话存储机制：即使SaveTokens = false，仍需确认认证会话是否使用分布式缓存（如Redis）而非内存缓存，多实例场景下内存缓存会导致会话丢失
• 检查Keycloak的会话设置：确认Keycloak的OIDC会话超时时间是否统一，是否存在Blazor会话提前过期但其他服务会话仍有效的情况

反向代理与请求转发排查 #

• 验证Nginx的Host头转发：确保配置中包含proxy_set_header Host $host;，避免Blazor应用生成的回调地址或Cookie使用错误的域名
• 检查Nginx头部大小限制：即使已配置大头部，仍需确认client_header_buffer_size和large_client_header_buffers的数值是否足够，避免请求头部被截断导致认证失败
• 确认WebSocket转发配置：检查Nginx是否包含proxy_set_header Upgrade $http_upgrade;和proxy_set_header Connection "upgrade";，避免Blazor的SignalR连接异常影响认证状态
• 排查路径映射规则：针对F5刷新出现的404问题，检查Nginx对SonarQube等服务的路径映射，确保刷新时请求能正确路由到对应服务而非Blazor应用

内容的提问来源于stack exchange，提问作者Manos Georgoudakis