.NET Core从数据库取密钥配置IssuerSigningKey的实现合理性咨询

你的手动创建DbContext的方式不符合ASP.NET Core的最佳实践，存在多个关键问题，具体如下：

现有实现的问题 #

• 资源泄漏风险：手动实例化的DbContext不受DI容器管理，若未手动调用Dispose()，会导致数据库连接池资源泄漏，长期运行可能引发性能瓶颈。
• 配置不一致：手动构建DbContextOptions会和DI中注册的ApplicationDbContext配置脱节，后续修改连接字符串、NetTopologySuite等配置时，这里的手动配置无法同步，引发潜在的行为不一致问题。
• 密钥无法动态更新：应用启动时仅加载一次密钥，当DataProtection库自动更新数据库中的密钥后，JWT认证模块不会感知到新密钥，导致新生成的JWT无法被验证，旧密钥过期后认证完全失效。
• 启动容错性差：启动时直接抛出异常会导致应用完全无法启动，合理的做法是允许应用启动后再处理密钥缺失的情况（比如返回500错误而非直接崩溃）。

优化方案 #

方案1：利用DI容器与动态密钥加载（推荐） #

避免手动创建DbContext，改用DI容器管理，并通过自定义密钥提供器实现密钥的动态加载，确保密钥更新后能实时生效：

// 先将DbContext注册到DI（确保配置和项目其他地方一致）
builder.Services.AddDbContext<ApplicationDbContext>(options =>
    options.UseSqlServer(connectionString, x => x.UseNetTopologySuite()));

// 注册自定义密钥提供器
builder.Services.AddSingleton<IIssuerSigningKeyProvider, DatabaseSigningKeyProvider>();

builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(options =>
{
    options.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidateAudience = true,
        ValidateLifetime = true,
        ValidateIssuerSigningKey = true,
        ValidIssuer = "****",
        ValidAudience = "****",
        // 通过密钥解析器动态获取最新密钥
        IssuerSigningKeyResolver = (token, securityToken, kid, validationParameters) =>
        {
            var keyProvider = validationParameters.Context.RequestServices.GetRequiredService<IIssuerSigningKeyProvider>();
            return new List<SecurityKey> { keyProvider.GetCurrentSigningKey() };
        }
    };
});

// 自定义密钥提供器实现
public class DatabaseSigningKeyProvider : IIssuerSigningKeyProvider
{
    private readonly ApplicationDbContext _dbContext;

    public DatabaseSigningKeyProvider(ApplicationDbContext dbContext)
    {
        _dbContext = dbContext;
    }

    public SymmetricSecurityKey GetCurrentSigningKey()
    {
        // 取最新创建的密钥
        var keyDb = _dbContext.DataProtectionKeys.OrderByDescending(k => k.CreationDate).FirstOrDefault();
        if (keyDb == null || string.IsNullOrEmpty(keyDb.Xml))
        {
            throw new InvalidOperationException("数据库中缺少有效签名密钥");
        }

        var keyDoc = XDocument.Parse(keyDb.Xml);
        var keyAsStr = keyDoc.Descendants("value").First().Value;
        var keyAsBytes = Encoding.UTF8.GetBytes(keyAsStr);
        return new SymmetricSecurityKey(keyAsBytes);
    }
}

public interface IIssuerSigningKeyProvider
{
    SymmetricSecurityKey GetCurrentSigningKey();
}

方案2：若必须手动创建DbContext（不推荐） #

如果因特殊场景必须手动实例化，需严格管理资源生命周期，并额外实现密钥刷新逻辑：

// 使用using包裹DbContext，确保资源被正确释放
using (var contextOptions = new DbContextOptionsBuilder<ApplicationDbContext>()
    .UseSqlServer(connectionString, x => x.UseNetTopologySuite())
    .Options)
using (var operationalStoreOptions = Options.Create(new OperationalStoreOptions()))
using (var context = new ApplicationDbContext(contextOptions, operationalStoreOptions))
{
    var keyDb = context.DataProtectionKeys.OrderByDescending(k => k.CreationDate).FirstOrDefault();
    if (keyDb == null || string.IsNullOrEmpty(keyDb.Xml))
    {
        throw new ArgumentException("security key missing!");
    }

    var keyDoc = XDocument.Parse(keyDb.Xml);
    var keyAsStr = keyDoc.Descendants("value").First().Value;
    var keyAsBytes = Encoding.UTF8.GetBytes(keyAsStr);
    var securitykey = new SymmetricSecurityKey(keyAsBytes);

    builder.Services.AddAuthentication(options =>
    {
        options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
    })
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = "****",
            ValidAudience = "****",
            IssuerSigningKey = securitykey
        };
    });
}

注意：此方案仍无法解决密钥动态更新的问题，需额外添加后台定时任务，定期重新加载密钥并更新JWT认证配置。

总结 #

优先选择方案1，它完全符合ASP.NET Core的DI设计原则，同时解决了密钥动态更新、资源泄漏、配置不一致等核心问题。手动创建DbContext仅应作为极端场景下的临时方案，且必须严格遵循资源管理规范。

内容的提问来源于stack exchange，提问作者user3453552