.NET 5 MVC集成Keycloak本地运行正常，IIS部署后登录跳转报500错误

你遇到的OpenIdConnectAuthenticationHandler: message.State is null or empty错误，本质是OIDC认证流程中，Keycloak回调到你的应用/signin-oidc端点时，ASP.NET Core中间件无法读取到认证发起阶段存储state值的对应Cookie，导致状态校验失败抛出500错误。本地运行正常、部署后失效，和反向代理配置、生产环境Cookie策略、请求头转发异常直接相关。

按优先级依次检查调整以下配置：

• 第一步：配置请求转发头，修正应用获取的请求协议/地址
  IIS + 反向代理场景下，ASP.NET Core默认获取到的请求Scheme是内网HTTP而非公网HTTPS，会导致Cookie安全策略不匹配、回调地址生成错误。
  在ConfigureServices中添加转发头配置：

  services.Configure<ForwardedHeadersOptions>(options =>
  {
      options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
      // 生产环境建议填写反向代理的实际IP，避免伪造请求头风险
      options.KnownProxies.Add(IPAddress.Parse("你的Nginx/IIS反向代理内网IP"));
  });
  

  然后在Configure方法的最开头（必须早于UseAuthentication、UseRouting）启用转发头中间件：

  app.UseForwardedHeaders();
  

• 第二步：放开Cookie配置，适配生产HTTPS环境
  你当前代码注释了所有Cookie策略配置，生产HTTPS场景下需要正确配置SameSite和安全属性，否则浏览器会拒收认证Cookie：

  .AddCookie(options =>
  {
      // 存在跨站场景用None，同站部署可改为Lax
      options.Cookie.SameSite = SameSiteMode.None;
      // HTTPS环境必须开启Secure，否则SameSite=None不生效
      options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
      options.Cookie.IsEssential = true;
  })
  

• 第三步：修正OIDC和Keycloak配置匹配

  1. 确认AddOpenIdConnect中配置的Authority地址，和Keycloak对外暴露的公网地址完全一致（包括http/https、端口、后缀路径），不要填写内网地址
  2. 可临时添加以下配置跳过issuer校验定位问题，生产环境建议配置正确的issuer后开启校验：

  options.TokenValidationParameters.ValidateIssuer = false;
  

  3. 检查Keycloak客户端配置中的有效重定向URI，要和你生产环境的https://你的域名/signin-oidc完全匹配
  4. 检查Keycloak侧的Nginx配置，确保开启了X-Forwarded-Proto头转发，同时Keycloak启动参数开启了proxy-address-forwarding=true，避免Keycloak生成内网回调地址

• 临时调试方法
  可以在认证中间件前加自定义中间件，打印/signin-oidc请求的Cookie和Query参数，确认State是否真的没有回传，还是中间件读取异常。

内容的提问来源于stack exchange，提问作者Xenofono