如何配置IdentityServer4认证系统支持多令牌签发者（Issuer）？

嘿，这个问题我太熟了！很多团队在做多CNAME访问IdentityServer4的时候都会踩这个坑，本质就是IdentityServer的安全校验逻辑默认适配单域名场景，咱们一步步调整配置就能搞定：

1. 先搞定跨域（CORS）配置 #

当客户端从新的CNAME域名请求令牌时，最常见的就是浏览器因为CORS策略拦截请求——IdentityServer默认只允许原来的域名发起请求。

• 找到你IdentityServer项目里的CORS配置代码（.NET 6+一般在Program.cs，老版本在Startup.cs）
• 把所有需要访问的CNAME域名都加入允许列表，示例代码：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowedOrigins", policy =>
    {
        policy.WithOrigins("https://your-original-domain.com", "https://new-cname-1.com", "https://new-cname-2.com")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials();
    });
});

// 重要：一定要把CORS中间件放在IdentityServer中间件之前启用
app.UseCors("AllowedOrigins");

提示：如果是动态不确定的CNAME，也可以用SetIsOriginAllowed(host => true)允许所有来源，但生产环境尽量别这么做，明确指定更安全。

2. 强制统一Issuer地址 #

另一个高频坑是Issuer验证失败：默认情况下，IdentityServer会把当前请求的域名作为令牌里的iss（颁发者）字段，但客户端验证令牌时可能只认原来的域名，直接报错不匹配。

解决方法是给IdentityServer指定一个固定的Issuer Uri，让所有令牌的iss字段保持一致：

builder.Services.AddIdentityServer(options =>
{
    // 填你要统一的主域名，比如原来的那个URL
    options.IssuerUri = "https://your-original-domain.com";
})
// 后续的AddInMemoryClients、AddInMemoryApiScopes等配置保持不变...

这样不管从哪个CNAME请求令牌，颁发的令牌iss都是你指定的主域名，客户端验证就不会出问题了。

3. 更新客户端配置的AllowedCorsOrigins #

除了全局CORS，IdentityServer的每个客户端（Client）配置里还有专门的AllowedCorsOrigins字段，必须把所有CNAME域名加进去：

new Client
{
    ClientId = "your-client-id",
    ClientName = "Your Frontend App",
    // 其他配置（比如AllowedGrantTypes、ClientSecrets等）...
    AllowedCorsOrigins = new List<string>
    {
        "https://your-original-domain.com",
        "https://new-cname-1.com",
        "https://new-cname-2.com"
    }
}

这个配置是IdentityServer专门用来校验令牌请求来源的，必须和实际请求的域名完全匹配。

4. 最后检查细节 #

如果以上配置都做了还是报错，建议扒完整的日志信息（你提到的info: Microsoft.A...日志），排查以下细节：

• 如果客户端用了回调地址（比如授权码模式），要确保所有CNAME对应的回调地址都在RedirectUris列表里
• 确认请求里的client_id和client_secret（如果启用的话）没有传错，不同域名请求时有没有遗漏参数

内容的提问来源于stack exchange，提问作者Richard Comish