IdentityServer4 有效Token下跨应用切换频繁跳转登录页问题求助

该问题和你双服务器负载均衡的部署配置直接相关，不属于隐式流本身的逻辑问题，无日志上报是因为默认不会记录ASP.NET Core底层的Cookie解密失败、会话不存在类的低级别日志，常见原因及修复方案如下： #

常见触发原因 #

• ASP.NET Core Data Protection 未配置分布式共享
  IdentityServer的认证Cookie、会话加密依赖ASP.NET Core Data Protection组件，双节点如果各自独立生成密钥，A节点加密生成的Cookie落到B节点时无法解密，会直接判定会话无效跳转登录，这是90%以上同场景问题的触发原因。
• 会话存储为默认内存模式
  默认配置下IdentityServer的会话数据存在节点本地内存，双节点之间不互通，A节点生成的登录会话在B节点查询不到，也会触发登录跳转。
• 双节点Cookie配置不一致
  如果两个节点的Cookie Domain、SameSite策略、Secure属性配置不统一，会出现部分节点无法识别已生成Cookie的问题，触发跳转。

修复步骤 #

1. 配置分布式Data Protection密钥存储，双节点共用同一套密钥，示例（基于Redis）：

// 两个节点的该部分配置必须完全一致
services.AddDataProtection()
    .PersistKeysToStackExchangeRedis(redisConnectMultiplexer, "IDSrv-DataProtection-Keys")
    .SetApplicationName("IdentityServer-Shared");

2. 替换内存会话存储为分布式缓存，示例（基于Redis）：

// 注册分布式缓存
services.AddStackExchangeRedisCache(options =>
{
    options.Configuration = "Redis连接字符串";
    options.InstanceName = "IDSrv-Cache-";
});

// 配置统一的会话策略
services.AddSession(options =>
{
    options.Cookie.Name = ".IDSrv.Session";
    options.Cookie.Domain = ".你的根域名.com"; // 所有子应用共享根域名的话填根域名
    options.Cookie.SameSite = SameSiteMode.Lax;
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 生产HTTPS环境开启
    options.IdleTimeout = TimeSpan.FromHours(2); // 和你的令牌有效期匹配
});

3. 校验双节点所有IdentityServer、认证相关配置完全一致，不要出现节点差异化配置。
4. 临时验证：开启负载均衡的粘性会话（会话保持），如果开启后问题消失即可确认是上述分布式配置问题。

内容的提问来源于stack exchange，提问作者Ghanshyam Shukla