ASP.NET Core Identity跨应用邮箱令牌验证提示“无效令牌”问题

问题原因 #

• Data Protection系统隔离：ASP.NET Core Identity的令牌生成依赖Data Protection框架，默认情况下每个应用会创建独立的保护上下文——即使密钥和算法配置相同，应用名称不同或密钥存储隔离，都会导致令牌的加密/解密上下文不匹配，验证时判定为无效。
• 令牌传递的编码问题：令牌生成后如果包含+、/、=等特殊字符，在URL传递过程中可能被自动转义或截断；如果MVC端未正确解码就直接验证，会导致令牌内容损坏。
• 用户模型或标识不一致：两个应用的自定义User类若存在属性差异、主键类型不统一，或者UserStore的实现细节不同，会导致令牌中嵌入的用户标识信息无法被正确解析匹配。

解决方案 #

1. 统一Data Protection配置 #

在API和MVC应用的Program.cs中配置完全一致的Data Protection参数，确保加密上下文统一：

// 两个应用都添加此配置
builder.Services.AddDataProtection()
    .SetApplicationName("YourSharedApplicationName") // 应用名称必须完全相同
    .PersistKeysToFileSystem(new DirectoryInfo(@"D:\SharedIdentityKeys")); // 共享密钥存储目录，需确保双应用有读写权限

如果是分布式部署，也可以使用Redis、Azure Key Vault等分布式存储来共享密钥，避免本地文件系统的权限问题。

2. 规范令牌的编码与解码 #

API生成令牌后先做Base64URL编码，MVC接收后解码再验证：

// API端生成并编码令牌
var rawToken = await _userManager.GenerateEmailConfirmationTokenAsync(user);
var encodedToken = WebEncoders.Base64UrlEncode(Encoding.UTF8.GetBytes(rawToken));
// 将encodedToken返回给前端，用于跳转MVC应用

// MVC端接收令牌后解码并验证
var encodedToken = Request.Query["token"]; // 从请求参数获取令牌
var rawToken = Encoding.UTF8.GetString(WebEncoders.Base64UrlDecode(encodedToken));
var result = await _userManager.ChangeEmailAsync(user, newEmail, rawToken);

3. 确保用户模型与Identity配置一致 #

• 两个应用使用完全相同的自定义User类（包括属性、主键类型），避免任何序列化差异。
• 确认Identity的核心配置（如AddIdentity或AddIdentityCore的参数）完全一致，包括令牌提供器的配置。

4. 验证令牌上下文的一致性 #

• 确保MVC端调用ChangeEmailAsync时使用的用户ID、旧邮箱地址，与API端生成令牌时的用户信息完全匹配。
• 检查令牌的有效期：如果令牌生成后间隔太久才验证，可能已过期（默认令牌有效期为1天，可通过IdentityOptions.Tokens配置调整）。

内容的提问来源于stack exchange，提问作者Dmytro Kotenko