ASP.NET MVC反向代理环境下认证跳转主机名错误的解决方法

你遇到的核心问题是：ASP.NET OWIN认证模块没有识别到反向代理的存在，生成登录跳转URL时直接使用了后端服务器（myapp.mydomain.toplevel）的地址，而非代理对外暴露的地址（www.mydomain.toplevel）。这是因为默认情况下，ASP.NET会从当前请求的服务器变量中获取主机名和协议，但反向代理转发请求时没有把真实的外部请求信息传递给后端应用。

下面提供两种解决方案，优先推荐第一种（更灵活、可维护）：

方案一：配置反向代理传递转发头，让ASP.NET信任代理信息 #

这种方式通过反向代理把真实的请求主机、协议等信息传递给后端应用，让ASP.NET自动生成正确的跳转URL。

1. 修改反向代理的IIS重写规则 #

打开代理服务器的web.config，在<serverVariables>节点中添加转发头变量，把真实的请求信息传递给后端：

<system.webServer>
    <httpErrors errorMode="Detailed" />
    <asp scriptErrorSentToBrowser="true"/>
    <rewrite>
        <rule name="proxy" stopProcessing="true">
            <match url="^app/?(.*)" />
            <serverVariables>
                <set name="X_REQUESTED_URL_PATH" value="{R:1}" />
                <!-- 添加以下转发头，传递真实请求信息 -->
                <set name="HTTP_X_FORWARDED_HOST" value="{HTTP_HOST}" />
                <set name="HTTP_X_FORWARDED_PROTO" value="{HTTPS}" />
                <set name="HTTP_X_FORWARDED_FOR" value="{REMOTE_ADDR}" />
            </serverVariables>
            <action type="Rewrite" url="https://myapp.mydomain.toplevel/app/{R:1}" />
        </rule>
    </rewrite>
</system.webServer>

注意：需要在IIS中允许修改这些服务器变量。操作步骤：打开IIS管理器 → 选中代理站点 → 双击「URL Rewrite」→ 右侧点击「View Server Variables」→ 添加HTTP_X_FORWARDED_HOST、HTTP_X_FORWARDED_PROTO、HTTP_X_FORWARDED_FOR到允许列表。

2. 在ASP.NET应用中启用转发头处理 #

在Startup.cs中，在UseCookieAuthentication之前添加UseForwardedHeaders中间件，告诉应用信任反向代理传递的转发头：

using Microsoft.Owin.ForwardedHeaders;

// 先配置转发头处理
app.UseForwardedHeaders(new ForwardedHeadersOptions
{
    ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto | ForwardedHeaders.XForwardedHost
});

// 再配置Cookie认证
app.UseCookieAuthentication(new CookieAuthenticationOptions 
{ 
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie, 
    LoginPath = new PathString("/Account/Login"), 
    Provider = new CookieAuthenticationProvider 
    { 
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(30), 
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager)) 
    } 
});

这个中间件会自动把请求中的转发头信息替换为真实的外部请求地址，认证模块生成跳转URL时就会使用代理的对外地址了。

方案二：自定义认证跳转逻辑（固定代理地址场景） #

如果方案一无法生效，或者你的代理地址固定不变，可以直接自定义认证跳转的逻辑，手动构建正确的URL：

app.UseCookieAuthentication(new CookieAuthenticationOptions 
{ 
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie, 
    LoginPath = new PathString("/Account/Login"), 
    Provider = new CookieAuthenticationProvider 
    { 
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(30), 
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager)),
        // 自定义跳转逻辑
        OnApplyRedirect = context =>
        {
            // 代理的对外基础地址
            string proxyBaseUrl = "https://www.mydomain.toplevel/app/";
            // 拼接登录路径（去掉开头的/避免重复）
            string loginPath = context.Options.LoginPath.ToString().TrimStart('/');
            string redirectUrl = $"{proxyBaseUrl}{loginPath}";
            
            // 带上ReturnUrl参数（如果有）
            if (!string.IsNullOrEmpty(context.Request.Query["ReturnUrl"]))
            {
                redirectUrl += $"?ReturnUrl={Uri.EscapeDataString(context.Request.Query["ReturnUrl"])}";
            }
            
            context.Response.Redirect(redirectUrl);
        }
    } 
});

这种方式直接但不够灵活，代理地址变化时需要修改代码，适合小型固定场景。

额外注意事项 #

• 确保后端应用的web.config中没有设置<httpRuntime useFullyQualifiedRedirectUrl="true" />，这个配置会强制生成全限定URL，但如果没有正确的转发头，仍会使用后端服务器地址。

内容的提问来源于stack exchange，提问作者Malyngo