如何让.NET Core 3.1 Blazor的OpenID Connect认证后重定向到公网URL？

问题背景 #

我有一个基于.NET Core 3.1的Blazor应用，使用AddOpenIdConnect对接ID Server做认证。本地环境配置正常，但开发环境中应用运行在mysite.local，公网可访问地址为mysite.public，导致ID Server完成认证后，重定向地址是https://mysite.local/signin-oidc而非预期的https://mysite.public/signin-oidc。

此前尝试的方法均无效：

• 直接给CallbackPath设置完整URL抛出异常（要求路径以'/'开头）
• 设CallbackPath = "/signin-oidc"仍重定向到本地地址
• 在登录页手动设置RedirectUri也未解决问题

解决思路及步骤 #

1. 配置反向代理转发头支持 #

应用运行在反向代理后（公网地址由代理提供，实际服务跑在本地），需让应用识别到真实的公网请求地址。在Startup.cs中配置：

// ConfigureServices中添加
services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    // 添加可信代理IP，根据实际环境调整
    options.KnownProxies.Add(IPAddress.Parse("127.0.0.1"));
});

// Configure方法最开头添加（在app.UseRouting()之前）
app.UseForwardedHeaders();

2. 调整OpenIdConnect配置，强制指定公网回调地址 #

保持CallbackPath为相对路径，通过事件手动替换ID Server接收的回调地址：

services.AddOpenIdConnect("oidc", options =>
{
    options.Authority = "你的ID Server地址";
    options.ClientId = "你的客户端ID";
    options.ClientSecret = "你的客户端密钥";
    options.ResponseType = "code";
    options.CallbackPath = "/signin-oidc"; // 保留相对路径
    options.SaveTokens = true;
    options.UsePkce = true;

    // 关键：拦截跳转请求，替换为公网回调地址
    options.Events = new OpenIdConnectEvents
    {
        OnRedirectToIdentityProvider = context =>
        {
            context.ProtocolMessage.RedirectUri = "https://mysite.public/signin-oidc";
            return Task.CompletedTask;
        }
    };
});

3. 检查ID Server客户端配置 #

必须在ID Server的客户端配置中，将https://mysite.public/signin-oidc添加到允许的重定向地址列表，否则ID Server会拒绝该回调请求。

4. 优化登录页的RedirectUri逻辑 #

如果需要登录后跳转到指定页面，优先使用相对路径，或确保传递的完整地址在ID Server允许列表内：

public async Task OnGet(string redirectUri)
{
    await HttpContext.ChallengeAsync("oidc", new AuthenticationProperties
    {
        RedirectUri = string.IsNullOrEmpty(redirectUri) ? "/" : redirectUri
    });
}

前端链接示例（用相对路径更安全）：

<a href="login?redirectUri=/original-page">Log in</a>

内容的提问来源于stack exchange，提问作者user1919214