.NET7生产环境邮件确认令牌偶发InvalidToken问题排查求助

场景背景 #

开发.NET 7项目时，自定义邮件确认令牌提供者将有效期延长至5天，本地及AWS ECS开发环境运行正常，但生产环境中每10次请求有1-2次返回"InvalidToken"。现有实现代码如下：

自定义令牌提供者实现 #

public class CustomEmailConfirmationTokenProvider<TUser>
                                  : DataProtectorTokenProvider<TUser> where TUser : class
{
    public CustomEmailConfirmationTokenProvider(IDataProtectionProvider dataProtectionProvider,
                                                IOptions<EmailConfirmationTokenProviderOptions> options,
                                                ILogger<DataProtectorTokenProvider<TUser>> logger) : base(dataProtectionProvider,
                                                                                                          options,
                                                                                                          logger)
    {
    }
}

public class EmailConfirmationTokenProviderOptions : DataProtectionTokenProviderOptions
{
}

服务配置代码 #

services.AddIdentity<ApplicationUser, IdentityRole>(options =>
            {
                options.Password.RequireLowercase = false;
                options.Password.RequireUppercase = false;
                options.Password.RequireNonAlphanumeric = false;
                options.Password.RequireDigit = false;
                options.Tokens.EmailConfirmationTokenProvider = "CustomEmailConfirmation";
            })
                .AddEntityFrameworkStores<TContext>()
                .AddDefaultTokenProviders()
                .AddTokenProvider<CustomEmailConfirmationTokenProvider<ApplicationUser>>("CustomEmailConfirmation");

services.Configure<IdentityOptions>(options =>
{
    options.Lockout.DefaultLockoutTimeSpan = TimeSpan.FromMinutes(5);
    options.Lockout.MaxFailedAccessAttempts = 3;
    options.Lockout.AllowedForNewUsers = true;
});

services.Configure<DataProtectionTokenProviderOptions>(options => options.TokenLifespan = TimeSpan.FromMinutes(20));
services.Configure<EmailConfirmationTokenProviderOptions>(options => options.TokenLifespan = TimeSpan.FromDays(5));

令牌生成与验证方法 #

public virtual async Task<AuthenticationResult> GenerateEmailVerificationTokenAsync(string email)
{
    var user = await _userManager.FindByEmailAsync(email);
    if (user == null)
    {
        return AuthenticationResult.Fail("No user exists with the specified email address.");
    }

    var token = _userManager.GenerateEmailConfirmationTokenAsync(user).Result;
    if (string.IsNullOrWhiteSpace(token))
    {
        return AuthenticationResult.Fail("Email verification code could not be generated.");
    }

    return AuthenticationResult.EmailVerification(HttpUtility.UrlEncode(token));
}


public virtual async Task<AuthenticationResult> ConfirmEmailAsync(string userId, string code)
{
    var user = await _userManager.FindByIdAsync(userId);
    if (user == null)
    {
        return AuthenticationResult.Fail("User is not found.");
    }

    var result = await _userManager.ConfirmEmailAsync(user!, code);
    if (result.Succeeded)
    {
        return AuthenticationResult.Succeed("Email confirmed. Proceed to login.", user);
    }

    return AuthenticationResult.Fail(
       result.Errors.FirstOrDefault() != null
           ? result.Errors.FirstOrDefault()!.Description
           : "Failed to confirm the email.");
}

日志配置 #

"Logging": {
  "LogLevel": {
    "Default": "Debug",
    "Microsoft.AspNetCore.Authentication": "Debug",
    "Microsoft.AspNetCore.Authorization": "Debug"
  }
}

排查步骤 #

1. 修复异步调用同步阻塞问题 #

生成令牌时使用.Result会导致线程死锁或上下文异常，替换为await：

var token = await _userManager.GenerateEmailConfirmationTokenAsync(user);

同步阻塞可能在多实例环境下引发不可预测的上下文问题，导致令牌生成/验证时的数据保护上下文不一致。

2. 完善日志记录 #

当前日志未覆盖Identity令牌验证的核心组件，添加以下日志配置：

"Logging": {
  "LogLevel": {
    "Default": "Debug",
    "Microsoft.AspNetCore.Authentication": "Debug",
    "Microsoft.AspNetCore.Authorization": "Debug",
    "Microsoft.AspNetCore.Identity": "Debug",
    "Microsoft.AspNetCore.DataProtection": "Debug"
  }
}

这会记录令牌验证时的详细错误信息，比如令牌过期、签名不匹配、数据保护密钥不一致等具体原因。

3. 检查AWS ECS多实例的数据保护密钥一致性 #

在多实例部署环境中，每个实例默认使用本地数据保护密钥，导致跨实例生成的令牌无法验证。需配置共享数据保护密钥：

• 使用AWS S3存储数据保护密钥：

  services.AddDataProtection()
          .PersistKeysToAwsS3(new AmazonS3Client(), "your-bucket-name", "data-protection-keys.xml");
  

• 或使用AWS KMS加密密钥：

  services.AddDataProtection()
          .ProtectKeysWithAwsKms("your-kms-key-id");
  

确保所有ECS实例使用相同的数据保护密钥，否则令牌在不同实例间无法互通验证。

4. 验证URL编码/解码的一致性 #

生成令牌时使用HttpUtility.UrlEncode，验证时需确保传入的code已正确解码。检查API接收参数时是否自动解码（ASP.NET Core默认会自动解码查询参数），若手动处理需避免重复解码：

// 确认code参数是否已自动解码，若未则添加：
var decodedCode = HttpUtility.UrlDecode(code);
var result = await _userManager.ConfirmEmailAsync(user!, decodedCode);

重复编码/解码会导致令牌字符损坏，引发无效令牌错误。

5. 检查令牌有效期与服务器时间同步 #

AWS ECS实例的系统时间若不一致，会导致令牌有效期判断错误。确保所有ECS实例使用NTP同步时间，避免因时间差导致令牌被误判为过期。

6. 捕获令牌验证的详细错误 #

修改ConfirmEmailAsync方法，直接输出所有Identity错误信息，而非仅取第一个：

return AuthenticationResult.Fail(
   result.Errors.Any()
       ? string.Join("; ", result.Errors.Select(e => e.Description))
       : "Failed to confirm the email.");

这会返回更具体的错误原因，比如"Invalid token"、"Token expired"等，帮助定位问题。

内容的提问来源于stack exchange，提问作者Junaid