.NET 7 Web App集成Sign In With Apple遇'invalid_client'错误求助

问题描述 #

我在.NET 7 Web App中集成Apple登录功能，参考相关指南实现后，流程可正常跳转到Apple登录页面，但登录完成回调时抛出错误：

OpenIdConnectProtocolException: Message contains error: 'invalid_client', error_description: 'error_description is null', error_uri: 'error_uri is null'

已等待超过48小时（谷歌搜索常见建议），且参考其他博客示例修改代码后仍未解决。相关配置包括Startup.cs中的OpenIdConnect配置、AppleTokenGenerator代码、AppleLogin挑战操作，同时确认过Apple开发者控制台的Service ID配置、主应用关联、TeamID、KeyID等设置。

排查思路 #

• 验证客户端身份签名正确性
  Apple的invalid_client错误大多和JWT签名验证失败有关，检查AppleTokenGenerator中的JWT生成逻辑：

  • 确认使用的是Apple开发者后台下载的p8格式私钥，无格式错误（确保-----BEGIN PRIVATE KEY-----和-----END PRIVATE KEY-----完整，无多余换行或空格）
  • 验证JWT的iss（Team ID）、aud（固定为https://appleid.apple.com）、sub（Service ID）参数与开发者控制台配置完全匹配
  • 检查JWT的过期时间(exp)，确保有效期不超过180天，且当前时间在有效期范围内

• 核对Service ID与回调地址配置

  • 确认Apple开发者控制台中Service ID的回调地址和代码中CallbackPath完全一致，包括协议（生产环境必须用HTTPS）、域名、路径，大小写敏感
  • 检查Service ID是否已启用「Sign In with Apple」功能，且关联了正确的主App ID

• 检查OpenIdConnect中间件配置细节

  • 确保ClientId设置为Service ID，而非App ID
  • 确认TokenValidationParameters中的ValidIssuer设置为https://appleid.apple.com，未错误配置其他 issuer
  • 检查ResponseType是否设置为code id_token或code，Apple不支持部分非标准响应类型

• 捕获并分析请求日志

  • 在appsettings.json中设置Logging.LogLevel.Microsoft.AspNetCore.Authentication为Debug，启用详细日志，查看回调时向Apple发送的token请求参数，对比是否符合要求
  • 使用抓包工具（如Fiddler）捕获请求，查看Apple返回的原始响应，部分场景下会包含更详细的错误描述（即使错误提示显示null）

• 确认私钥权限与有效性

  • 检查Apple开发者后台中创建的私钥是否启用了「Sign In with Apple」权限
  • 确认私钥未被删除或过期，Team ID和Key ID与私钥完全对应（私钥文件名包含Key ID）

内容的提问来源于stack exchange，提问作者Matthew Warr