如何解决docker-compose部署IdentityServer4时WebApp连接被拒的问题

报错中的Connection refused (identityserver:443) 是WebApp容器内部发起的出站请求失败，和你能从宿主机直接访问映射端口的行为完全是两个独立网络路径下的连通性问题。宿主机能通不代表Docker内部网络里的WebApp容器能通过服务名+443端口连通IdentityServer容器。

分步排查与修复 #

• 先验证容器内部实际监听端口
  目前绝大多数ASP.NET Core官方生成的Dockerfile中，容器内Kestrel默认监听80端口的HTTP服务，EXPOSE 443只是文档性声明，不会自动把服务绑定到443端口。你可以直接在WebApp容器内部执行连通性测试：
  • 测试curl http://identityserver/：大概率返回正常响应
  • 测试curl https://identityserver/：直接触发连接拒绝，因为容器内根本没有进程在443端口监听
• 区分OIDC的两类请求场景，避免配置混用
  OpenID Connect集成涉及两个完全不同的访问路径，绝不能用同一个Authority地址适配所有场景：
  1. 服务端出站拉取元数据请求：由WebApp容器发起，目标是拉取/.well-known/openid-configuration文档，就是你当前报错失败的请求。这个请求走Docker内部网络，必须用容器间能连通的地址。
  2. 浏览器端重定向请求：由WebApp生成302跳转地址，推送给用户浏览器。这个请求走用户本地网络，必须用用户浏览器能解析访问的地址（比如你映射宿主机443端口的https://localhost）
• 对应配置修复方案
  方案1（开发场景最简配置）：
  在OpenIdConnect配置中单独指定后端拉取元数据的地址，和对外生成的重定向地址解耦：

  options.Authority = "https://localhost"; // 配置浏览器可访问的对外地址，用于生成重定向跳转、校验签发地址
  options.Backchannel.CustomAuthorityUri = "http://identityserver"; // 配置容器内部可连通的地址，用于服务端拉取OIDC元数据
  

  方案2（全链路HTTPS适配场景）：
  给IdentityServer容器配置实际的443端口监听：在IdentityServer服务的环境变量中添加ASPNETCORE_URLS=https://+;http://+，把开发信任的HTTPS证书挂载到容器的系统证书存储中，确保容器内部Kestrel进程真的在443端口启动监听，此时WebApp内部访问identityserver:443才能连通。
• 踩坑提醒
  • 关闭RequireHttpsMetadata仅会跳过HTTPS证书的合法性校验，无法解决端口无监听导致的连接拒绝问题
  • Docker的EXPOSE指令仅做端口声明，不会配置任何端口转发、进程绑定逻辑，实际服务监听端口完全由应用本身的启动配置决定
  • Blazor Server的OIDC请求全部由服务端容器发起，和Blazor WebAssembly的前端发起请求逻辑有本质区别，不能直接照搬WASM项目的OIDC配置

内容的提问来源于stack exchange，提问作者ilMattion