Docker容器化IdentityServer4登录后重定向至登录页问题

从你的场景来看，本地运行正常但容器化后登录完成直接跳回登录页，大概率是容器环境下的请求上下文/Cookie配置不匹配导致的，下面是几个针对性的排查和修复方向：

1. 配置容器环境下的转发头（Forwarded Headers） #

Docker容器通常运行在NAT反向代理之后，IdentityServer无法正确识别原始请求的Scheme（http/https）和Host，这会直接导致：

• 生成的回调URL和配置的RedirectUris不匹配
• Cookie的安全属性设置错误，无法被浏览器正常保存

在Startup.cs的Configure方法中，把转发头中间件放在UseAuthentication之前：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 新增：配置转发头，让IdentityServer识别外部请求的真实Scheme和Host
    app.UseForwardedHeaders(new ForwardedHeadersOptions
    {
        ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
    });

    // 原有中间件顺序保持不变
    app.UseAuthentication();
    app.UseAuthorization();
    // ...其余配置
}

同时在ConfigureServices中补充允许的转发主机（本地测试可以用"localhost"，生产环境建议指定具体域名）：

services.Configure<ForwardedHeadersOptions>(options =>
{
    options.AllowedHosts.Add("localhost");
});

2. 修正Cookie的SameSite与Secure配置 #

你的Postman回调地址是HTTPS，但容器内服务默认用HTTP运行，IdentityServer生成的Cookie会因为Secure属性不匹配而被浏览器拒绝，导致登录状态丢失。

在Startup.cs的ConfigureServices中显式配置Cookie：

// 配置AspNetCore Identity的Cookie
services.ConfigureApplicationCookie(options =>
{
    options.Cookie.SameSite = SameSiteMode.Lax;
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 强制仅HTTPS环境下传递Cookie
    options.Cookie.HttpOnly = true;
});

// 同时配置IdentityServer自身的Cookie
services.AddIdentityServer()
    .AddAspNetIdentity<ApplicationUser>()
    .AddCookieAuthentication(options =>
    {
        options.Cookie.SameSite = SameSiteMode.Lax;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    })
    .AddInMemoryApiResources(Config.GetApis())
    .AddInMemoryClients(Config.GetClients());

3. 验证ReturnUrl的合法性 #

在你的Login方法中，_interaction.GetAuthorizationContextAsync会校验ReturnUrl是否在允许范围内，如果校验不通过会返回null，导致后续重定向逻辑不执行，最终回到登录页。

可以临时添加日志排查：

var context = await _interaction.GetAuthorizationContextAsync(model.ReturnUrl);
if (context == null)
{
    // 说明ReturnUrl不合法，检查Client配置的RedirectUris是否和请求的回调地址完全一致
    _logger.LogWarning("Invalid ReturnUrl detected: {ReturnUrl}", model.ReturnUrl);
    return RedirectToAction("Login");
}

注意要确保Client配置中的RedirectUris和Postman传入的redirect_uri完全匹配（包括大小写、路径参数）。

4. 检查容器时间同步问题 #

如果容器系统时间和本地不一致，会导致JWT或Cookie的过期时间校验失败，登录状态无法维持。可以进入容器检查时间：

docker exec -it <你的容器ID> date

如果时间不同步，在docker-compose中挂载本地时间文件同步：

auth2.2:
  image: ${DOCKER_REGISTRY-}auth22
  build:
    context: .
    dockerfile: Auth2.2/Dockerfile
  ports:
    - "5000:80"
  volumes:
    - /etc/localtime:/etc/localtime:ro # 挂载本地时间到容器

优先排查转发头配置，这是容器化IdentityServer最常见的问题——容器内服务无法感知外部请求的真实Scheme和Host，导致回调URL验证失败，最终重定向回登录页。

内容的提问来源于stack exchange，提问作者Andrii Marynych