OIDC应用部署在CDN、负载均衡或API网关之后时，最常见问题是应用看到内部HTTP地址，却需要向身份提供方登记外部HTTPS回调。与此同时，应用服务器还要主动访问发现文档、JWKS和Token端点。入站回调与出站协议请求必须分别检查。
OIDC链路的两种方向
| 方向 | 请求 | 代理重点 |
|---|---|---|
| 浏览器入站 | 授权跳转与回调 | 外部URL、Forwarded头、Cookie与路由 |
| 应用出站 | 发现文档、JWKS、Token与UserInfo | 正向代理、DNS、TLS与客户端认证 |
Issuer为什么必须一致
OIDC发现文档中的Issuer、ID Token中的iss和客户端配置需要一致。使用内部别名访问身份服务，或由代理改写外部主机，可能造成Issuer不匹配。不要关闭Issuer验证，应统一公开身份地址和代理路由。
Redirect URI为什么报不匹配
应用生成的回调URI可能包含内部协议、容器主机或错误端口。身份提供方通常只接受登记过的精确回调。应用应从可信代理传递的Proto、Host与Prefix重建外部URL，并在框架中设置正确基路径。
Forwarded头不能无条件信任
客户端可以自行发送X-Forwarded-Proto、X-Forwarded-Host等头。第一层受控代理应清洗后重写，应用只信任已知代理地址。多层解析原则见Forwarded、XFF与可信代理链。
Cookie为何在回调时丢失
登录前应用通常保存state、nonce与PKCE信息到会话或Cookie。Domain、Path、Secure、SameSite和反向代理路径不一致，会让回调取不到原状态。跨站表单回调与顶级导航行为也不同，应按实际响应模式和浏览器策略配置。
多实例为何间歇报state错误
如果state存储在单机内存，而负载均衡把回调送到另一实例，就会验证失败。可使用共享会话、加密自包含状态或可靠会话保持，但不能禁用state。还要检查密钥环是否在实例间一致。
登录页正常，Token请求为何超时
浏览器直接访问身份提供方完成登录，应用随后从服务器访问Token端点。Server所在网络可能需要企业代理、独立CA或NO_PROXY。应从应用容器内测试发现与Token主机，不要用用户电脑结果代替。
代理终止TLS对安全Cookie有什么影响
应用内部看到HTTP时，若不正确识别外部HTTPS，可能不设置Secure Cookie或生成错误回调。反向代理应传递可信Proto信息，应用配置外部URL。不要为了调试关闭Cookie安全属性后直接上线。
常见错误如何判断
- redirect_uri_mismatch：外部URI与登记不一致；
- invalid_state：Cookie、会话、多实例或重放；
- invalid_grant：授权码过期、重复使用或PKCE不匹配；
- Issuer/JWKS错误：身份地址、缓存、时间或代理；
- 407：应用出站代理认证。
日志应该记录什么
记录认证流程ID、Issuer、回调主机、错误类型、代理实例和时间即可。不要记录授权码、ID Token、Access Token、Client Secret或完整Cookie。多实例使用统一请求ID关联，但限制认证日志保留。
排查顺序
- 记录外部URL、内部URL与代理层次；
- 核对Issuer和已登记Redirect URI；
- 验证可信Forwarded头与基路径；
- 检查Cookie、state、nonce和PKCE；
- 从应用环境访问发现、JWKS和Token端点；
- 测试多实例回调与密钥共享；
- 清理认证调试数据并恢复安全设置。
结论
OIDC代理故障是入站外部URL与出站身份请求的组合问题。保持Issuer、回调、可信头和会话状态一致，并保留state、nonce与PKCE验证，才能安全解决登录循环和回调失败。
