Nginx反向代理下IdentityServer的JWKS 404与无限重定向问题

环境与问题背景 #

• IdentityServer运行在Docker容器，内部端口5001（地址https://identityserver:5001）
• Nginx将/identityserver/*请求路由至IdentityServer容器，期望外部访问路径为https://localhost/identityserver/...
• 直接访问容器端口5001功能正常，但通过Nginx反向代理访问时出现以下问题：
  1. JWKS端点404：发现文档中jwks_uri等端点缺失/identityserver前缀，浏览器请求https://localhost/.well-known/openid-configuration/jwks失败
  2. 签发者验证错误：客户端期望签发者为https://localhost/identityserver/，但实际返回https://localhost/identityserver（尾斜杠不匹配）
  3. 添加app.UsePathBase("/identityserver")后出现无限重定向循环

1. 配置IdentityServer生成正确的发现文档URL #

需同时配置转发头处理和路径基址，让IdentityServer识别反向代理后的外部真实路径：

• 在IdentityServer的Program.cs中，先添加转发头中间件，再设置路径基址：

  // 配置转发头，获取外部请求的真实协议、地址等信息
  app.UseForwardedHeaders(new ForwardedHeadersOptions
  {
      ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
  });
  
  // 设置路径基址，注意不要加尾斜杠
  app.UsePathBase("/identityserver");
  
  // 挂载IdentityServer中间件（必须在UsePathBase之后）
  app.UseIdentityServer();
  

• 在appsettings.json中显式指定外部签发者URI：

  "IdentityServer": {
    "IssuerUri": "https://localhost/identityserver"
  }
  

2. 解决路径前缀导致的无限重定向问题 #

无限重定向多因Nginx与IdentityServer路径规则不匹配、转发头配置不全导致：

• Nginx配置调整：确保proxy_pass末尾不带尾斜杠，同时传递完整转发头：

  location /identityserver {
      proxy_pass https://identityserver:5001;
      proxy_set_header Host $host;
      proxy_set_header X-Forwarded-For $remote_addr;
      proxy_set_header X-Forwarded-Proto $scheme;
      proxy_set_header X-Forwarded-Prefix /identityserver;
  }
  

• IdentityServer端检查：
  • 确保UsePathBase在UseIdentityServer之前执行
  • 客户端配置中的RedirectUri、PostLogoutRedirectUri需包含/identityserver前缀，例如https://localhost/identityserver/signin-oidc

3. 确保签发者URI的尾斜杠一致性 #

统一所有配置的尾斜杠规则，建议全部不带尾斜杠：

• IdentityServer的IssuerUri设置为https://localhost/identityserver
• 客户端配置中的Authority同步设置为https://localhost/identityserver
• Nginx的location和proxy_pass均不添加尾斜杠

若必须使用带尾斜杠的格式，需全链路统一：

• IdentityServer的IssuerUri设为https://localhost/identityserver/
• Nginx配置修改为：

  location /identityserver/ {
      proxy_pass https://identityserver:5001/;
      # 其他转发头配置同上
  }
  

• 客户端Authority也对应设置为带尾斜杠的地址

4. Nginx子路径下运行IdentityServer的标准配置模式 #

以下是经过验证的完整配置组合，可解决大部分URL生成问题：

IdentityServer端（Program.cs）

var builder = WebApplication.CreateBuilder(args);

// 注册IdentityServer服务
builder.Services.AddIdentityServer()
    .AddInMemoryClients(Config.Clients)
    .AddInMemoryApiScopes(Config.ApiScopes)
    .AddInMemoryIdentityResources(Config.IdentityResources)
    .AddTestUsers(Config.Users)
    .AddDeveloperSigningCredential();

// 配置转发头，允许Nginx作为代理（IP根据实际Docker网关调整）
builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    options.KnownProxies.Add(IPAddress.Parse("172.17.0.1"));
});

var app = builder.Build();

// 启用转发头
app.UseForwardedHeaders();

// 设置路径基址
app.UsePathBase("/identityserver");

// 启用静态文件（若包含登录页面等静态资源）
app.UseStaticFiles();

// 启动IdentityServer
app.UseIdentityServer();

app.Run();

Nginx配置

server {
    listen 443 ssl;
    server_name localhost;

    ssl_certificate /path/to/your/cert.pem;
    ssl_certificate_key /path/to/your/key.pem;

    # IdentityServer路由规则
    location /identityserver {
        proxy_pass https://identityserver:5001;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Prefix /identityserver;
    }

    # Angular前端路由规则（假设前端容器端口为4200）
    location / {
        proxy_pass https://angular-app:4200;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Angular客户端配置（auth-config.ts）

export const authConfig: AuthConfig = {
  issuer: 'https://localhost/identityserver',
  redirectUri: window.location.origin + '/callback',
  clientId: 'angular-client',
  responseType: 'code',
  scope: 'openid profile api1',
  postLogoutRedirectUri: window.location.origin + '/logout',
};

内容的提问来源于stack exchange，提问作者star213