配置OpenIddict以同时验证自身及外部服务颁发的令牌

你的问题出在硬编码了单个Issuer，并且UseLocalServer（用于信任自身服务令牌）和SetIssuer（强制仅信任7226端口服务）的配置冲突，导致只能识别外部服务的令牌。调整配置的核心是让OpenIddict同时信任两个颁发者（自身服务 + 7226端口服务），具体步骤如下：

调整后的配置代码 #

services.AddOpenIddict()
    .AddValidation(options =>
    {
        // 启用本地服务器支持，自动读取自身OpenIddict Server的配置（Issuer、密钥等），用于验证自身颁发的令牌
        options.UseLocalServer();
        options.EnableAuthorizationEntryValidation();

        // 添加外部颁发者（7226端口服务）的地址
        options.AddIssuer(new Uri("https://localhost:7226/"));

        // 添加共享的加密密钥（如果两个服务使用同一对称加密密钥）
        // 如果外部服务使用非对称加密，可注释此段，OpenIddict会通过元数据端点自动获取公钥
        options.AddEncryptionKey(new SymmetricSecurityKey(
            Convert.FromBase64String(Configuration["OpenIddict:EncryptionKey"] ?? string.Empty))
        );

        // 允许通过HTTP获取外部服务的元数据（用于自动获取签名密钥等配置）
        options.UseSystemNetHttp();

        options.UseAspNetCore();
    });

关键配置说明 #

1. 移除SetIssuer方法：该方法会强制OpenIddict仅信任指定的单个Issuer，无法兼容多个颁发者场景。
2. 保留UseLocalServer：自动关联自身OpenIddict Server的配置，无需手动指定自身Issuer和密钥，就能验证自身颁发的令牌。
3. 添加外部Issuer：通过AddIssuer方法注册7226端口服务的颁发者地址，让OpenIddict信任该服务的令牌。
4. 密钥配置：
   • 如果两个服务使用同一对称加密密钥，直接添加一次即可。
   • 如果外部服务使用非对称加密（如RSA），可以删除AddEncryptionKey这段代码，OpenIddict会通过UseSystemNetHttp自动请求外部服务的.well-known/openid-configuration元数据端点获取公钥。

额外注意事项 #

• 确保两个服务的令牌签名/加密机制兼容，比如都使用对称加密且密钥一致，或者外部服务的元数据端点可正常访问。
• 如果自身服务没有启用OpenIddict Server（仅作为验证端），则需要手动添加自身Issuer（如果有），并配置对应的密钥。

内容的提问来源于stack exchange，提问作者KayEdden