.NET 6中AddOpenIdConnect部署后Correlation failed问题求助

核心原因分析 #

「Correlation failed.」异常本质是ASP.NET Core的OIDC关联机制验证失败：应用发起授权请求时会生成关联Cookie（.AspNetCore.Correlation.oidc），授权回调时需要携带该Cookie完成验证。反向代理场景下，若应用无法识别真实外部域名、Cookie配置不匹配，就会导致关联Cookie无法被正确传递或验证。

1. 修复Nginx反向代理头配置 #

当前Nginx注释了关键的转发头，导致ASP.NET Core无法获取真实的请求域名和来源。修改Nginx配置如下：

server {
      listen       80;
      server_name  production.com;
      
      location / {
           # 传递真实请求的Host、来源等信息给后端应用
           proxy_set_header Host $host;
           proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
           proxy_set_header X-Forwarded-Proto $scheme; # 传递协议（http/https）
           proxy_set_header X-Forwarded-Host $host;
           proxy_pass http://localhost:8090;
      }
    }

2. 配置ASP.NET Core信任反向代理 #

在Program.cs中添加转发头处理，让应用信任Nginx传递的X-Forwarded-*头：

var builder = WebApplication.CreateBuilder(args);

// 配置信任反向代理的转发头
builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    // 生产环境建议指定具体的代理IP，避免安全风险
    options.KnownProxies.Add(IPAddress.Parse("你的虚拟机IP"));
    // 测试环境可临时允许所有（生产禁用）：
    // options.KnownNetworks.Add(new IPNetwork(IPAddress.Parse("0.0.0.0"), 0));
});

// ... 其他服务配置（包括你的OIDC和Cookie配置） ...

var app = builder.Build();

// 必须在其他中间件之前启用转发头处理
app.UseForwardedHeaders();

// ... 其他中间件配置（如app.UseAuthorization()等） ...

app.Run();

3. 调整Cookie配置确保跨代理环境有效 #

修改Cookie的Domain和SameSite配置，确保Cookie绑定到真实外部域名：

service.AddCookie("cookie", options =>
{
    // 设置Cookie域为外部访问的域名
    options.Cookie.Domain = "production.com";
    // Lax模式适配大多数场景，若需跨域可设为None（需配合Secure=true，HTTPS环境）
    options.Cookie.SameSite = SameSiteMode.Lax;
    // 确保Cookie在反向代理场景下可被传递
    options.Cookie.SecurePolicy = CookieSecurePolicy.SameAsRequest;
    options.Events.OnSigningOut = async e =>
    {
        await e.HttpContext.RevokeUserRefreshTokenAsync();
    };
})

同时，OIDC的关联Cookie也需要匹配相同的Domain，可通过OIDC配置调整：

.AddOpenIdConnect("oidc", opt =>
{
    // ... 其他OIDC配置 ...

    // 配置关联Cookie的Domain，和业务Cookie保持一致
    opt.CorrelationCookie.Domain = "production.com";
    opt.CorrelationCookie.SameSite = SameSiteMode.Lax;
    opt.CorrelationCookie.SecurePolicy = CookieSecurePolicy.SameAsRequest;

    // ... 事件配置 ...
});

4. 动态生成RedirectUri，避免硬编码冲突 #

去掉硬编码的RedirectUri，让应用根据真实请求地址动态生成，确保和关联Cookie的生成环境一致：

opt.Events = new OpenIdConnectEvents()
{
    // ... 其他事件 ...
    OnRedirectToIdentityProvider = context =>
    {
        // 基于真实外部请求地址生成回调URL
        var baseUri = $"{context.HttpContext.Request.Scheme}://{context.HttpContext.Request.Host}";
        context.ProtocolMessage.RedirectUri = baseUri + pingOneOptions.CallbackPath;
        return Task.CompletedTask;
    }
};

验证步骤 #

1. 重启Nginx和ASP.NET Core应用
2. 清除浏览器缓存和Cookie
3. 发起授权请求，验证回调时是否正常完成关联验证

内容的提问来源于stack exchange，提问作者Fush1