WSO2 IS 5.10新管理控制台URL登录后跳转回登录页故障排查问询

• Cookie配置校验
  首先检查deployment.toml配置文件中Cookie相关参数：
  • 确认[oauth]配置块下的cookie_domain是否同时覆盖logon.domain.com和idp.domain.com，或设置为.domain.com的根域名模式，避免Cookie仅对原域名生效
  • 检查是否开启了Cookie安全属性，确认新域名idp.domain.com的HTTPS证书配置有效，无浏览器不信任、证书不匹配问题
  • 验证[server]配置块下的hostname参数配置是否支持多域名访问，或针对性配置管理控制台专属域名
• 管理控制台OAuth回调地址校验
  WSO2 Carbon管理控制台本身为内置OAuth客户端，需验证其回调地址配置：
  • 使用原域名logon.domain.com登录控制台，进入「服务提供者 > 列表」找到系统预置的carbon控制台服务提供者
  • 打开「入站认证配置 > OAuth/OpenID Connect配置」，确认回调地址列表中已添加https://idp.domain.com/*等所有新域名下的控制台路径
  • 检查deployment.toml中[carbon_console]配置块的app_base_url是否已修改为新域名对应地址
• AWS ALB与反向代理配置校验
  确认负载均衡与后端WSO2节点的代理链路配置正确：
  • 检查AWS ALB规则，确认已将X-Forwarded-For、X-Forwarded-Proto、X-Forwarded-Host请求头透传给后端WSO2节点
  • 验证deployment.toml中[transport.https.properties]配置块已添加proxyPort = "443"参数，[server]配置块中trusted_proxies已添加ALB的内网IP段，避免WSO2无法识别代理请求
  • 确认ALB的会话保持配置是否正常，避免登录请求和后续请求被转发到不同节点导致会话丢失
• 多租户配置校验
  多租户部署场景下需额外校验域名限制配置：
  • 检查[tenant_mgt]配置块下的允许域名列表，确认idp.domain.com已加入可访问域名清单
  • 确认无租户级别的域名绑定规则限制idp.domain.com的访问权限
• 浏览器端请求排查
  可通过浏览器调试工具定位前端链路问题：
  • 切换至无痕模式发起测试，避免旧Cookie、缓存干扰
  • 抓包查看登录成功后的Set-Cookie响应头，确认Cookie的Domain、Path、Secure属性符合idp.domain.com的访问要求
  • 查看登录成功后的重定向链路，确认后续请求是否携带了有效JSESSIONID和CommonAuthCookie，是否存在401、403状态码返回
• 集群配置同步校验
  若为多节点集群部署，确认所有后端WSO2 IS节点的deployment.toml配置均已同步修改，且所有节点都已完成重启生效。

内容的提问来源于stack exchange，提问作者Robert Ginsburg