ASP.NET Core 2应用Azure AD认证遇企业代理407错误求助

我之前也碰到过一模一样的企业代理坑——浏览器能正常拉取元数据，但应用就是报407，核心原因就是ASP.NET Core的OpenIdConnect中间件默认用的HttpClient没配置代理凭证，浏览器自动继承了系统/用户的代理设置，但应用得手动配置才行。

给你一步步来解决：

1. 把代理配置写到配置文件里 #

别硬编码凭证，把代理信息放到appsettings.json里，方便后续修改：

{
  "AzureAd": {
    // 你的Azure AD原有配置
    "Instance": "https://login.microsoftonline.com/",
    "Domain": "your-domain.com",
    "TenantId": "your-tenant-id",
    "ClientId": "your-client-id",
    "CallbackPath": "/signin-oidc"
  },
  "ProxySettings": {
    "Address": "http://your-proxy-server:port", // 比如http://proxy.corp.com:8080
    "Username": "your-proxy-username",
    "Password": "your-proxy-password",
    "Domain": "your-corp-domain" // 如果代理不需要域就留空
  }
}

2. 创建代理配置类 #

新建一个简单的类来绑定上面的配置，方便在代码里读取：

public class ProxySettings
{
    public string Address { get; set; }
    public string Username { get; set; }
    public string Password { get; set; }
    public string Domain { get; set; }
}

3. 给OpenIdConnect中间件配置带代理的HttpClient #

在Startup.cs的ConfigureServices方法里，找到认证相关的代码，添加代理配置：

public void ConfigureServices(IServiceCollection services)
{
    // 原有MVC等配置...

    // 加载代理配置
    var proxySettings = Configuration.GetSection("ProxySettings").Get<ProxySettings>();
    
    // 创建带代理凭证的HttpClientHandler
    var proxy = new WebProxy(proxySettings.Address)
    {
        Credentials = new NetworkCredential(
            proxySettings.Username,
            proxySettings.Password,
            proxySettings.Domain)
    };
    var httpClientHandler = new HttpClientHandler
    {
        Proxy = proxy,
        UseProxy = true
    };

    // 配置Azure AD认证，并替换Backchannel的HttpHandler
    services.AddAuthentication(AzureADDefaults.AuthenticationScheme)
        .AddAzureAD(options => Configuration.Bind("AzureAd", options));

    // 调整OpenIdConnect的选项，设置我们的代理Handler
    services.Configure<OpenIdConnectOptions>(AzureADDefaults.OpenIdScheme, options =>
    {
        options.BackchannelHttpHandler = httpClientHandler;
        options.BackchannelTimeout = TimeSpan.FromSeconds(30); // 可选，增加超时时间
    });
}

可选：用系统默认凭证（如果允许的话） #

如果你的应用运行在Windows服务/IIS下，且企业代理允许使用当前运行账号的凭证，那可以不用配置用户名密码，直接用系统默认凭证：

proxy.Credentials = CredentialCache.DefaultCredentials;

测试验证 #

可以先写个小测试代码，验证代理能不能正常访问Azure AD的元数据URL：

// 在某个控制器或者Startup里临时加一段测试代码
using (var client = new HttpClient(httpClientHandler))
{
    var metadataUrl = "https://login.microsoftonline.com/your-tenant-id/v2.0/.well-known/openid-configuration";
    var response = await client.GetAsync(metadataUrl);
    response.EnsureSuccessStatusCode(); // 如果不抛异常，说明代理配置生效了
}

这样配置完之后，OpenIdConnect中间件拉取元数据的时候就会走企业代理并带上凭证，407的问题应该就能解决了。

内容的提问来源于stack exchange，提问作者Abhishek Tiwari