不记名令牌仅在浏览没有“www”的站点时才有效。

Question

我有一个ASP.NET Core 3.0, Angular, IdentityServer4 应用程序部署到 IIS。它使用导出到 .pfx 的服务器证书进行令牌签名。 （此证书用于 SSL 证书，但来自证书存储）。

应用程序以 https://www.example.com 和 htts://example.com 的形式加载都很好（没有 SSL 错误）。

但是在浏览https://www.example.com 并尝试访问任何需要授权的端点上的数据时，它不起作用。在响应头中观察到以下错误：

www-authenticate: Bearer error="invalid_token", error_description="The issuer 'https://www.example.com' is invalid"

我不确定从哪里开始寻找...这会是 IdentityServer4 配置问题吗？

---

仅供参考，这个项目是从dotnet new angular -o <output_directory_name> -au Individual创建的模板项目开发的。

Answer 1

令牌发行者（它是发行令牌的网站的来源）是 OIDC 提供商与依赖它的客户端和 API 之间合同的一部分。

identityserver4 默认情况下将使用传入的请求详细信息来确定iss 在它发出的任何令牌中的值。

因此，您通常应该只为您的 OIDC 提供商使用一个主机名 - 例如。 identity.example.com 或类似的东西。

另一个选项可能是强制它使用预定义的主机名，而不是根据请求确定它。