ASP.NET Core 2.0 Azure AD认证回调HTTP而非HTTPS问题求助

我之前帮别人排查过几乎一模一样的问题，大概率是Nginx反向代理的配置没做好，导致ASP.NET Core和Azure AD之间的回调环节出了问题。咱们一步步来解决：

1. 确保Nginx正确传递请求头给ASP.NET Core #

ASP.NET Core需要知道实际的外部请求URL（包括HTTPS协议、域名），否则生成的回调地址会是Nginx转发给后端的HTTP地址，和Azure AD里配置的HTTPS回调URI不匹配，直接触发报错。

你需要在Nginx的location配置里添加这些关键请求头：

location / {
    proxy_pass http://localhost:5000; # 替换成你的ASP.NET Core应用监听的端口
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $remote_addr;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host $host;
    proxy_set_header X-Forwarded-Port $server_port;
}

这些头会告诉ASP.NET Core实际的外部请求协议（HTTPS）和域名，这样它生成的回调地址才会和Azure AD里配置的完全一致。

2. 配置ASP.NET Core信任反向代理 #

光有Nginx的请求头还不够，得让ASP.NET Core明确信任这个反向代理，才会使用X-Forwarded-*头来构建正确的URL。

在Startup.cs的ConfigureServices方法里添加：

using Microsoft.AspNetCore.HttpOverrides;

public void ConfigureServices(IServiceCollection services)
{
    // 其他业务配置...
    
    // 信任反向代理
    services.Configure<ForwardedHeadersOptions>(options =>
    {
        options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
        // 如果Nginx和应用在同一服务器，添加本地回环地址即可；若Nginx在另一台服务器，替换成Nginx的IP
        options.KnownProxies.Add(IPAddress.Parse("127.0.0.1"));
    });
    
    // OpenIdConnect相关配置...
}

然后在Configure方法里，一定要把UseForwardedHeaders放在UseAuthentication之前：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 其他中间件配置...
    
    app.UseForwardedHeaders(); // 必须在认证中间件之前执行
    app.UseAuthentication();
    
    // 其他中间件配置...
}

3. 验证Azure AD回调URI的一致性 #

再仔细核对Azure AD应用注册里的回调URI：

• 检查拼写错误，比如域名大小写、路径是否严格为/signin-oidc
• 如果你的Nginx用了非标准HTTPS端口（比如不是443），回调URI里必须包含端口号，例如https://domain.tld:8443/signin-oidc

4. 检查Nginx的HTTPS配置 #

确保Nginx正确处理HTTPS请求，证书有效，并且把所有HTTP请求强制重定向到HTTPS：

server {
    listen 80;
    server_name domain.tld;
    return 301 https://$server_name$request_uri;
}

server {
    listen 443 ssl;
    server_name domain.tld;
    
    ssl_certificate /path/to/your/cert.pem;
    ssl_certificate_key /path/to/your/key.pem;
    
    # 可选：添加安全的SSL配置，比如协议、加密套件等
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    
    location / {
        # 之前的反向代理配置...
    }
}

5. 查看详细错误日志定位问题 #

如果以上步骤都试过还是不行，开启ASP.NET Core的详细日志，看看回调过程中具体的错误点：
在appsettings.json里添加日志配置：

{
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft.AspNetCore.Authentication": "Debug",
      "Microsoft.AspNetCore.HttpOverrides": "Debug"
    }
  }
}

查看应用日志后，你应该能看到回调地址不匹配、请求头缺失这类具体的错误信息，再针对性调整即可。

内容的提问来源于stack exchange，提问作者Hoorstiii