ASP.NET Core 8中JWT认证如何注入密钥提供服务？

在ConfigureServices方法中配置JWT认证时，服务容器尚未完成构建，因此无法直接通过依赖注入获取已注册的IKeyProvider实例。以下是两种可行的解决方案：

方案一：通过IssuerSigningKeyResolver动态获取密钥（适合动态密钥场景） #

利用IssuerSigningKeyResolver委托，在验证Token时从HttpContext的服务容器中获取IKeyProvider，这种方式支持密钥动态更新（比如密钥轮换）：

public void ConfigureServices(IServiceCollection services)
{
    services.AddSingleton<IKeyProvider, KeyProvider>();
    
    services.AddAuthentication(o =>
    {
        o.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
        o.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
    })
    .AddJwtBearer(o =>
    {
        o.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = "SomeIssuer",
            ValidAudience = "SomeAudience",
            ClockSkew = TimeSpan.Zero
        };

        o.IssuerSigningKeyResolver = (token, securityToken, kid, parameters) =>
        {
            // 从当前请求的服务容器中获取IKeyProvider
            var keyProvider = parameters.HttpContext.RequestServices.GetRequiredService<IKeyProvider>();
            // 调用自定义方法获取签名密钥（需根据你的IKeyProvider实现调整）
            var signingKey = keyProvider.GetSigningKey();
            return new List<SecurityKey> { signingKey };
        };
    });
}

方案二：提前构建服务提供者获取固定密钥（适合静态密钥场景） #

如果你的签名密钥是固定不变的，可以提前构建一个临时服务提供者来获取IKeyProvider实例，直接配置到TokenValidationParameters中：

public void ConfigureServices(IServiceCollection services)
{
    services.AddSingleton<IKeyProvider, KeyProvider>();

    // 构建临时服务提供者获取单例的IKeyProvider
    var tempServiceProvider = services.BuildServiceProvider();
    var keyProvider = tempServiceProvider.GetRequiredService<IKeyProvider>();
    
    services.AddAuthentication(o =>
    {
        o.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
        o.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
    })
    .AddJwtBearer(o =>
    {
        o.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = "SomeIssuer",
            ValidAudience = "SomeAudience",
            // 使用获取到的固定密钥
            IssuerSigningKey = keyProvider.GetSigningKey(),
            ClockSkew = TimeSpan.Zero
        };
    });
}

注意事项 #

• 方案一每次验证Token时都会获取IKeyProvider，适合需要动态更新密钥的场景；方案二仅在启动时获取一次密钥，性能更优，但无法动态更新。
• 提前调用BuildServiceProvider会创建临时服务容器，尽量避免在注册大量服务后使用，防止出现服务不一致的问题（本场景中IKeyProvider是单例且已提前注册，因此无风险）。

内容的提问来源于stack exchange，提问作者Marko