ASP.NET Core 5 Identity重置密码令牌随机无效问题求助

我们使用IdentityServer4 + ASP.NET Core Identity（.NET 5）搭建的系统中，密码重置端点频繁出现令牌验证失败的错误，但重复发送相同请求2-10次后会成功。

令牌生成逻辑 #

var token = await _userManager.GeneratePasswordResetTokenAsync(user);

令牌验证逻辑 #

// 为简洁起见省略其余代码
if (user == null)
{
    throw new CustomException(UserNotFoundException);
}

var isValid = await userManager.VerifyUserTokenAsync(user, userManager.Options.Tokens.PasswordResetTokenProvider, "ResetPassword", token);

if (!isValid)
{
    throw new CustomException(InvalidTokenException);
}

return isValid;

现象 #

• VerifyUserTokenAsync方法多数情况下返回false，重试多次后才验证通过
• 仅生产环境出现该问题，测试环境无此现象
• 自定义OTP provider工作正常

已完成的排查步骤 #

1. 确认生成的令牌与请求中发送的令牌完全一致
2. 令牌通过请求体发送，不存在编码/解码不匹配问题
3. 流程中SecurityStamp不为null
4. 问题出现前无代码变更

怀疑与多实例部署有关，寻求进一步排查方向。

排查方向 #

1. 多实例环境下的SecurityStamp同步问题

ASP.NET Core Identity的密码重置令牌生成依赖SecurityStamp，默认的DataProtectorTokenProvider会结合SecurityStamp生成令牌。如果多实例部署时：

• 各实例的DataProtection配置不一致（比如未共享持久化密钥环），会导致同一令牌在不同实例上验证结果不同
• 用户的SecurityStamp在数据库中更新后，部分实例的缓存未及时刷新，导致验证时使用了旧的SecurityStamp

验证方法：

• 检查各实例的DataProtection配置，确保生产环境所有实例使用相同的持久化密钥存储（如共享文件系统、数据库）
• 临时禁用UserManager缓存，验证前强制从数据库重新加载用户：

  var freshUser = await userManager.FindByIdAsync(user.Id);
  var isValid = await userManager.VerifyUserTokenAsync(freshUser, userManager.Options.Tokens.PasswordResetTokenProvider, "ResetPassword", token);
  

2. 数据库读写分离延迟问题

如果生产环境使用数据库读写分离，验证令牌时读取从库数据，而生成令牌时写入主库，若从库同步延迟，验证时可能获取到旧的SecurityStamp或用户数据。

验证方法：

• 临时将验证流程的数据库连接切换为主库，观察问题是否消失
• 检查数据库从库的同步延迟情况，确认同步频率满足业务需求

3. 实例时间同步问题

令牌默认包含过期时间（默认1小时），若各实例系统时间不一致，可能导致令牌在部分实例上被判定为过期，部分实例验证正常。

验证方法：

• 检查所有生产实例的系统时间是否与NTP服务器同步，时间差控制在1分钟内

4. 日志追踪差异

增加详细日志，记录每次生成和验证时的：

• 用户SecurityStamp值
• 当前处理请求的实例ID
• 令牌验证的完整参数
  通过对比成功与失败请求的日志，定位数据或环境差异点

内容的提问来源于stack exchange，提问作者Tabris