Azure App Gateway - 在调用 App Gateway 的用户浏览器中保留调用者主机名以防止“检测到可能的 CSRF - state 参数”错误

Question

在这里请求一些帮助。 有点卡在用例中。 我们正在尝试通过 Spring 安全将 OneLogin 与我们的应用程序集成。

我们应用程序的入口点是 Azure App Gateway，它将请求路由到负载均衡器，进一步路由到部署服务的 VM。 如果我们不为任何传入请求覆盖后端设置中的主机名，一切都会正常进行，从而导致 App Gateway 主机只为每个请求传递。 此处 App Gateway URL 被设置为 Spring 安全身份验证端点调用中的重定向 URI。

当 Apigee 用作我们应用程序的入口点时，就会出现问题。 Apigee 将请求路由到 App Gateway，将其进一步路由到负载均衡器和虚拟机。 在这里，我们必须将主机覆盖为 Apigee 主机名，以便向 OneLogin 服务器验证客户端。 Apigee 端点在 Spring 安全身份验证端点调用中设置为重定向 URI。 但是，服务器返回“检测到可能的 CSRF - 需要 state 参数但找不到 state”错误。 尝试了来自其他 SO 链接的不同可能解决方案来解决此错误，例如提供 session cookie 名称，但没有帮助。 我们的 OneLogin 服务器和客户端应用程序也在不同的域中。

唯一在这里起作用的是当我们不覆盖 Azure App Gateway 后端设置中的主机名并将 App Gateway URL 作为身份验证端点调用中的重定向 URI 传递时。 但问题是它在用户浏览器中显示了 App Gateway URL，这是我们不希望看到的，因为在理想情况下，用户应该只在浏览器 url 中看到 Apigee 主机，而不是 App Gateway 主机。 那么，有没有办法在 Azure App Gateway 设置中将 URL 重新路由/重定向/覆盖到 Apigee URL，而无需调用 Apigee 端点。 只有用户在浏览器中看到 Apigee url，但在内部所有调用都只对 App Gateway 端点进行。

或者，当 Apigee 主机名在身份验证端点而不是 App Gateway 主机中用作重定向 URL 时，其他解决方案可能是防止 CSRF 问题。 但不确定如何解决。

Answer 1

• 在您的场景中，当您没有覆盖 Azure 应用程序网关后端设置中的主机名并将“应用程序网关”URL 作为“授权端点调用”中的重定向 URL 传递时，应用程序网关 URL 显示在用户的浏览器中不需要，因为 Apigee 主机将身份验证请求重定向到“App gateway”端点。

因此，如果不调用“Apigee”端点，您肯定可以通过在网关中配置“重写 URI 规则”，将其重定向到 Azure 应用程序网关设置中的 Apigee 重定向 URL。 这些重写规则将检查是否存在已配置的 URL 或特定路径，因此会将原始 URI 路径更改为新配置的路径。 因此，请按照下面给出的快照作为配置上述相同步骤的步骤：-

因此，如上所示，您可以在“标准 V2”SKU 应用程序网关中配置“重写规则”，以将“授权端点调用”的响应请求从应用程序网关 URL 重定向到配置的 Apigee 端点主机名。 这样，当应用程序网关 URL 在浏览器中显示时，它将在浏览器中重写为 apigee 端点主机名的 URL，因此接收端的用户将能够看到 Apigee 端点主机名，从而满足您的要求要求。

有关上述内容的更多详细信息，请参阅以下链接：-

https://learn.microsoft.com/en-us/azure/application-gateway/rewrite-http-headers-url#modify-a-redirection-url