ASP.Net MVC结合Azure应用网关：授权重定向主机名异常问题咨询

我之前也碰到过一模一样的场景！这本质上是ASP.NET MVC默认授权重定向逻辑没适配应用网关的反向代理环境导致的，来给你拆解原因和解决方案：

问题根源 #

当你用[Authorize]特性保护页面时，ASP.NET会自动触发登录重定向。但在应用网关之后，后端应用收到的请求是网关转发的内部请求，Request.Url指向的是应用的私有内部地址（比如http://app-internal:8080/Home/Secret），而非用户实际访问的网关公网URL。Azure AD登录完成后，会把用户重定向到这个内部地址，用户自然访问不了，返回403权限错误。

而你手动调用HttpContext.GetOwinContext().Authentication.Challenge()时，应该是手动指定了正确的网关公网地址作为回调URL，所以流程能正常走通。

解决方案 #

1. 启用转发头支持（最推荐） #

让ASP.NET识别网关传递的真实请求地址，这样默认的重定向逻辑就能生成正确的回调URL：

• 在Startup.cs中添加转发头处理配置：

  public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
  {
      // 要放在其他中间件之前
      app.UseForwardedHeaders(new ForwardedHeadersOptions
      {
          ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
      });
  
      // 其他中间件配置...
      app.UseAuthentication();
      app.UseAuthorization();
  }
  

• 确认Azure应用网关已开启X-Forwarded-For和X-Forwarded-Proto头的传递（默认是开启的，可在网关的"设置"->"后端设置"里验证）。

2. 手动指定OAuth2回调地址 #

在Azure AD认证配置里直接硬编码网关公网地址作为回调URL，覆盖默认值：

• 打开Startup.Auth.cs（或者你的认证配置类），修改OpenID Connect配置：

  app.UseOpenIdConnectAuthentication(
      new OpenIdConnectAuthenticationOptions
      {
          ClientId = Configuration["AzureAd:ClientId"],
          Authority = $"https://login.microsoftonline.com/{Configuration["AzureAd:TenantId"]}",
          // 替换成你的网关公网URL + 默认回调路径
          RedirectUri = "https://your-gateway-public-domain.com/signin-oidc",
          // 其他配置...
          Notifications = new OpenIdConnectAuthenticationNotifications
          {
              AuthenticationFailed = context =>
              {
                  context.HandleResponse();
                  context.Response.Redirect("/Error?message=" + context.Exception.Message);
                  return Task.FromResult(0);
              }
          }
      });
  

• 务必保证这个地址和你在Azure AD应用注册里配置的**回复URL（Redirect URI）**完全一致，否则AAD会拒绝回调请求。

3. 自定义授权特性（兜底方案） #

如果上面两种方法都不生效，可以自定义AuthorizeAttribute，手动控制重定向逻辑：

public class GatewayAuthorizeAttribute : AuthorizeAttribute
{
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        if (!filterContext.HttpContext.User.Identity.IsAuthenticated)
        {
            // 从转发头获取真实的协议和网关地址
            var proto = filterContext.HttpContext.Request.Headers["X-Forwarded-Proto"] ?? "https";
            var gatewayHost = "your-gateway-public-domain.com";
            // 构建用户原本要访问的网关地址
            var targetUrl = new UriBuilder(proto, gatewayHost)
            {
                Path = filterContext.HttpContext.Request.Path,
                Query = filterContext.HttpContext.Request.QueryString.ToString()
            }.Uri.ToString();

            var authProperties = new AuthenticationProperties { RedirectUri = targetUrl };
            filterContext.HttpContext.GetOwinContext()
                .Authentication.Challenge(authProperties, OpenIdConnectAuthenticationDefaults.AuthenticationType);
        }
        else
        {
            // 已认证但无权限，返回403
            filterContext.Result = new HttpStatusCodeResult(HttpStatusCode.Forbidden);
        }
    }
}

之后把代码里的[Authorize]替换成[GatewayAuthorize]即可。

额外注意点 #

• 如果应用网关配置了路径规则（比如把/myapp路径转发给后端），回调地址也要包含这个路径，比如https://your-gateway-public-domain.com/myapp/signin-oidc。
• 测试时可以开启ASP.NET的日志，查看生成的回调URL是否正确，方便排查问题。

内容的提问来源于stack exchange，提问作者ToDevAndBeyond