.NET Core MVC Identity Server客户端重定向URI HTTP转HTTPS问题

问题梳理 #

• 本地开发：.NET Core MVC客户端用HTTPS重定向URI（https://localhost:5001/signin-oidc）对接Identity Server完全正常
• 测试环境：客户端部署在负载均衡器后，以无SSL的HTTP运行，重定向URI变成http://clienttestsite.com/signin-oidc，被只允许HTTPS重定向的Identity Server直接打回，返回无效请求
• 试过添加UseHttpsRedirection()无效，后来在OpenID Connect的OnRedirectToIdentityProvider事件里把重定向URI强制换成HTTPS，结果客户端又报correlation failed（关联失败）

问题根源 #

负载均衡器配置了SSL，但客户端服务器本身未启用SSL——这会触发两个核心问题：

1. Identity Server不认可HTTP协议的重定向URI，直接拒绝请求
2. 客户端在HTTP环境下生成的关联验证Cookie标记为「非安全」，而Identity Server的回调请求用的是HTTPS，ASP.NET Core会拒绝读取该Cookie，最终触发关联失败

解决方案 #

1. 为客户端服务器本身配置SSL #

不要仅在负载均衡器层面配置SSL，客户端服务器自身也需要启用HTTPS：

• 在Program.cs中通过Kestrel配置SSL：

builder.WebHost.UseKestrel(options =>
{
    // 监听HTTP端口
    options.ListenAnyIP(5000);
    // 配置HTTPS监听，替换为你的证书路径和密码
    options.ListenAnyIP(5001, listenOptions =>
    {
        listenOptions.UseHttps("your-cert.pfx", "your-cert-password");
    });
});

• 若使用环境配置文件（如launchSettings.json的测试环境配置项）：

"profiles": {
  "TestServer": {
    "commandName": "Project",
    "dotnetRunMessages": true,
    "applicationUrl": "https://clienttestsite.com:5001;http://clienttestsite.com:5000",
    "environmentVariables": {
      "ASPNETCORE_ENVIRONMENT": "Staging"
    }
  }
}

2. 配置负载均衡器的转发头 #

让ASP.NET Core识别负载均衡器转发的真实请求协议（HTTPS），在Program.cs中添加：

// 配置转发头，识别X-Forwarded-For和X-Forwarded-Proto
builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    // 将负载均衡器IP加入信任列表，避免被判定为恶意请求
    options.KnownProxies.Add(IPAddress.Parse("你的负载均衡器IP"));
});

// 注意顺序：必须在UseAuthentication之前调用UseForwardedHeaders
app.UseForwardedHeaders();
app.UseAuthentication();
app.UseAuthorization();

3. 修正OpenID Connect配置 #

• 先在Identity Server的客户端配置中，将重定向URI更新为https://clienttestsite.com/signin-oidc
• 客户端侧的OpenID Connect配置，确保基于转发头处理重定向URI：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(options =>
{
    options.Authority = "https://你的Identity Server地址";
    options.ClientId = "你的客户端ID";
    options.ClientSecret = "你的客户端密钥";
    options.ResponseType = "code";
    options.SaveTokens = true;
    options.CallbackPath = "/signin-oidc";

    options.Events = new OpenIdConnectEvents
    {
        OnRedirectToIdentityProvider = context =>
        {
            // 将重定向URI中的http替换为https，与Identity Server配置保持一致
            context.ProtocolMessage.RedirectUri = context.ProtocolMessage.RedirectUri.Replace("http://", "https://");
            return Task.CompletedTask;
        }
    };
});

核心要点 #

关联失败的本质是Cookie安全属性不匹配：HTTP环境下生成的Cookie没有Secure标记，HTTPS回调请求到达时ASP.NET Core会拒绝读取它。必须让客户端服务器自身运行在SSL环境下，再配合转发头配置，让整个请求链路的协议上下文统一为HTTPS，才能同时满足Identity Server的重定向URI要求，以及关联验证的Cookie安全要求。

内容的提问来源于stack exchange，提问作者sadiksa