IdentityServer4+Nginx反向代理后登录回调地址缺失/identity路径

核心问题原因 #

你手动修改ctx.Request.Host时错误地将路径/identity/包含进去，导致IdentityServer4生成回调URL时无法正确识别自身的子路径；同时未使用官方的反向代理头处理中间件，也没设置服务的基础路径，最终导致回调URL丢失/identity前缀。

修复步骤 #

1. 替换手动中间件为官方ForwardedHeaders中间件 #

放弃手动修改请求上下文的方式，改用ASP.NET Core官方提供的ForwardedHeaders中间件来处理反向代理传递的头信息，这能更可靠地识别真实请求的Scheme、Host等。

在IdentityServer4项目中：

• 在ConfigureServices方法中添加配置：

using Microsoft.AspNetCore.HttpOverrides;
using System.Net;

services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    // 信任反向代理的IP，根据你的服务器环境调整（比如Docker网关IP或127.0.0.1）
    options.KnownProxies.Add(IPAddress.Parse("127.0.0.1"));
});

• 在Configure方法中，在UseRouting之前添加中间件：

app.UseForwardedHeaders();
// 添加基础路径配置，告诉IdentityServer4它运行在/identity子路径下
app.UsePathBase("/identity");

• 删除你之前手动设置ctx.Request.Scheme和ctx.Request.Host的自定义中间件。

在客户端项目中：

同样替换手动中间件为ForwardedHeaders，配置逻辑和IdentityServer4一致，确保客户端也能正确识别真实请求的协议和域名。

2. 调整Nginx配置，补充必要的转发头 #

在Nginx的两个location配置中添加X-Forwarded-Proto头，后端服务需要通过这个头知道客户端使用的是HTTPS协议：

客户端location配置修改：

location / {
    proxy_pass http://Client;
    proxy_buffering off;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-Host $host;
    proxy_set_header X-Forwarded-Port $server_port;
    proxy_set_header X-Forwarded-Proto $scheme; # 新增该行

    fastcgi_buffers 16 16k;
    fastcgi_buffer_size 32k;
}

IdentityServer4 location配置修改：

location /identity/ {
    proxy_pass http://Identity/;
    proxy_buffering off;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-Host $host;
    proxy_set_header X-Forwarded-Port $server_port;
    proxy_set_header X-Forwarded-Proto $scheme; # 新增该行

    fastcgi_buffers 16 16k;
    fastcgi_buffer_size 32k;
}

3. 验证客户端RedirectUri配置 #

确保你在IdentityServer4的客户端配置中，RedirectUri设置为正确的地址（比如https://xxx.com/signin-oidc，对应客户端的OIDC回调路径），这个地址不需要包含/identity，因为那是IdentityServer4自身的路径。

验证 #

重启Nginx和所有Docker服务后，再次尝试登录流程：

• 登录跳转正常；
• 登录完成后，IdentityServer4会生成包含/identity前缀的回调URL：https://xxx.com/identity/connect/authorize/callback?client_id=...，自动完成正确跳转。

内容的提问来源于stack exchange，提问作者Rouzbeh Zarandi