如何正确释放MemoryCache中可能仍在使用的过期对象？

你当前的实现确实存在风险：当缓存项被驱逐时，PostEvictionCallback直接调用Dispose，但此时可能还有其他线程持有对X509Certificate2对象的引用，提前释放会导致使用中的对象失效，引发异常。针对这个问题，最可靠的解决方案是引入引用计数机制，确保只有当所有使用方都不再持有对象引用，且缓存也移除了该项时，才真正释放资源。

具体实现方案 #

1. 实现引用计数包装类

创建一个包装类，内部维护引用计数，控制证书的释放时机：

public class RefCountedX509SecurityKey : IDisposable
{
    private readonly X509SecurityKey _innerKey;
    private int _referenceCount;
    private bool _isDisposed;

    public RefCountedX509SecurityKey(X509SecurityKey innerKey)
    {
        _innerKey = innerKey;
        _referenceCount = 1; // 初始计数为1，代表缓存持有一个引用
    }

    // 获取内部Key并增加引用计数
    public X509SecurityKey Acquire()
    {
        if (_isDisposed)
            throw new ObjectDisposedException(nameof(RefCountedX509SecurityKey));
        
        Interlocked.Increment(ref _referenceCount);
        return _innerKey;
    }

    // 释放引用，计数归0时真正释放证书
    public void Dispose()
    {
        if (_isDisposed) return;
        
        if (Interlocked.Decrement(ref _referenceCount) == 0)
        {
            _innerKey.Certificate.Dispose();
            _isDisposed = true;
        }
    }
}

2. 修改缓存逻辑

将缓存的X509SecurityKey替换为上述包装类，缓存驱逐时仅释放缓存持有的引用：

await cache.GetOrCreateAsync("IdTokenCerts", async entry =>
{
    entry.AbsoluteExpirationRelativeToNow = JwtCertsCacheLifetime;
    entry.RegisterPostEvictionCallback((_, value, _, _) =>
    {
        if (value is IEnumerable<RefCountedX509SecurityKey> refCountedKeys)
        {
            foreach (var key in refCountedKeys)
            {
                key.Dispose(); // 释放缓存持有的引用
            }
        }
    });

    // 原证书加载逻辑，替换为包装类实例
    var certificates = await LoadCertificatesAsync();
    return certificates.Select(cert => new RefCountedX509SecurityKey(new X509SecurityKey(cert))).ToList();
});

3. 使用缓存项时的规范

每次从缓存取出使用时，必须调用Acquire()获取内部Key，使用完毕后调用Dispose()释放引用：

var refCountedKeys = cache.Get<IEnumerable<RefCountedX509SecurityKey>>("IdTokenCerts");
if (refCountedKeys != null)
{
    foreach (var refKey in refCountedKeys)
    {
        var x509Key = refKey.Acquire();
        try
        {
            // 执行x509Key相关业务逻辑
        }
        finally
        {
            refKey.Dispose(); // 释放当前使用方的引用
        }
    }
}

其他可选方案（不推荐） #

• 弱引用+终结器：通过弱引用跟踪对象，依赖GC终结器释放资源，但无法精确控制释放时机，可能导致资源延迟释放，不适合对资源敏感的场景。
• 对象池替代缓存：使用ObjectPool<T>管理证书对象，当对象回到池时重置状态，不再需要时统一释放。但X509Certificate2与系统资源绑定，重置逻辑可能复杂，适用性有限。

总结 #

引用计数是最可靠的解决方案，它确保只有当所有使用方和缓存都不再持有对象引用时，才会真正释放X509Certificate2资源，避免提前释放或资源泄漏问题。需要在所有使用缓存项的代码中严格遵循Acquire()和Dispose()的配对调用规范。

内容的提问来源于stack exchange，提问作者Luke Vo