.NET Core 2中IdentityServer4仅本地可正常使用CORS问题

我来帮你排查这个部署到IIS7.5后的CORS问题，结合你用IdentityServer4隐式流的场景，大概率是配置层面的问题，一步步来解决：

1. 确认ASP.NET Core项目内的CORS策略配置 #

首先要确保你的API项目里已经正确配置了CORS策略，允许前端应用和IdentityServer的跨域请求，尤其是要支持携带令牌的请求（需要开启AllowCredentials）。

如果是.NET 6+的项目，在Program.cs里的配置示例：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowCrossDomain", policy =>
    {
        // 替换成你的前端地址和IdentityServer地址
        policy.WithOrigins("https://your-frontend-domain", "https://your-identityserver-domain")
              .AllowAnyMethod()
              .AllowAnyHeader()
              .AllowCredentials(); // 必须开启，因为要携带Authorization令牌
    });
});

// 注意顺序：UseCors要放在UseRouting之后，UseAuthorization之前
app.UseRouting();
app.UseCors("AllowCrossDomain");
app.UseAuthentication();
app.UseAuthorization();

2. 安装并配置IIS7.5的CORS模块 #

IIS7.5默认没有内置CORS支持，需要手动安装IIS CORS Module（可通过Web平台安装器下载安装）。安装完成后，在API站点的web.config中添加CORS规则：

<system.webServer>
  <cors enabled="true">
    <!-- 允许前端和IdentityServer的跨域请求，开启凭据支持 -->
    <add origin="https://your-frontend-domain" allowCredentials="true" />
    <add origin="https://your-identityserver-domain" allowCredentials="true" />
    <!-- 本地测试地址可临时添加，部署后移除 -->
    <add origin="http://localhost:5000" allowCredentials="true" />
  </cors>
</system.webServer>

这里要注意：IIS的CORS配置要和ASP.NET Core的配置保持一致，避免规则冲突。

3. 调整IIS站点的身份验证设置 #

跨域请求的OPTIONS预请求会被IIS的身份验证拦截，所以要确保API站点只启用匿名身份验证：

• 打开IIS管理器，找到你的API站点
• 点击「身份验证」
• 启用「匿名身份验证」，禁用其他不需要的身份验证（比如Windows身份验证）

4. 确保IIS允许OPTIONS请求 #

OPTIONS是跨域预请求的默认方法，要确保IIS不会拒绝这个请求。在web.config的<system.webServer>节点下添加：

<handlers>
  <remove name="OPTIONSVerbHandler" />
  <add name="OPTIONSVerbHandler" path="*" verb="OPTIONS" modules="ProtocolSupportModule" resourceType="Unspecified" requireAccess="None" />
</handlers>

5. 验证令牌验证配置的正确性 #

因为IdentityServer不在当前IIS服务器上，要确保API的令牌验证配置能正确访问到IdentityServer的发现端点：

builder.Services.AddAuthentication("Bearer")
    .AddJwtBearer("Bearer", options =>
    {
        options.Authority = "https://your-identityserver-domain"; // 确保这个地址能被API服务器访问到
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateAudience = true,
            ValidAudience = "your-api-resource-name" // 要和IdentityServer中配置的API资源名称一致
        };
    });

同时检查API服务器和IdentityServer服务器之间的网络连通性，确保没有防火墙或代理阻止请求。

内容的提问来源于stack exchange，提问作者Marc D.