ASP.NET Core生成邮箱确认令牌后立即无效问题排查

问题场景 #

以下代码中，更新用户邮箱后生成换邮箱令牌，调用ConfirmEmailAsync始终返回Succeeded = false，错误信息为"Invalid Token"：

user.Email = customer.Email;
//user.UserName = customer.Email;
//user.NormalizedEmail = customer.Email.ToUpper();
//user.NormalizedUserName = customer.Email.ToUpper();
//user.EmailConfirmed = false;

//await _userManager.UpdateSecurityStampAsync(user);

await _userManager.UpdateAsync(user);

var token = await _userManager.GenerateChangeEmailTokenAsync(user, customer.Email);

var result = await _userManager.ConfirmEmailAsync(user, token);

已尝试启用所有注释代码、传入NormalizedEmail、重新获取用户生成令牌、直接修改aspnetUsers表等操作，均无效。该功能曾通过QA验收，当前突然失效。

核心原因分析 #

1. 令牌生成与验证的用户状态不一致：调用UpdateAsync后，数据库中用户的SecurityStamp可能已自动更新，但内存中的user对象仍持有旧的SecurityStamp。GenerateChangeEmailTokenAsync依赖当前用户的SecurityStamp生成令牌，而ConfirmEmailAsync会校验数据库中最新的SecurityStamp，两者不匹配导致令牌无效。
2. Identity字段未完整同步：ASP.NET Identity的令牌生成逻辑会关联NormalizedEmail、UserName等规范化字段，若这些字段未同步更新，会导致令牌验证时的字段校验失败。
3. 直接修改数据库的遗留问题：此前直接修改aspnetUsers表的操作，可能导致用户的ConcurrencyStamp或SecurityStamp与应用内存对象不一致，破坏了Identity的状态校验逻辑。
4. Identity配置变更：原开发人员离职后，若有人修改了IdentityOptions中的令牌有效期、加密密钥等配置，会导致生成逻辑与验证逻辑不兼容。

排查与修复步骤 #

1. 确保生成令牌前获取最新用户对象 #

在生成令牌前，重新从数据库拉取用户，避免使用内存中已过期的对象：

await _userManager.UpdateAsync(user);
// 重新获取最新的用户实例
var updatedUser = await _userManager.FindByIdAsync(user.Id);
var token = await _userManager.GenerateChangeEmailTokenAsync(updatedUser, customer.Email);
var result = await _userManager.ConfirmEmailAsync(updatedUser, token);

2. 完整同步邮箱相关字段 #

启用所有注释的字段设置，确保用户对象的关联字段与数据库完全同步：

user.Email = customer.Email;
user.UserName = customer.Email;
user.NormalizedEmail = customer.Email.ToUpper();
user.NormalizedUserName = customer.Email.ToUpper();
user.EmailConfirmed = false;

await _userManager.UpdateAsync(user);
// 重新获取用户并更新SecurityStamp，强制刷新状态
var updatedUser = await _userManager.FindByIdAsync(user.Id);
await _userManager.UpdateSecurityStampAsync(updatedUser);
var token = await _userManager.GenerateChangeEmailTokenAsync(updatedUser, customer.Email);
var result = await _userManager.ConfirmEmailAsync(updatedUser, token);

3. 检查Identity令牌配置 #

查看项目启动配置（Program.cs/Startup.cs），确认令牌相关配置未被修改：

builder.Services.AddIdentity<IdentityUser, IdentityRole>(options =>
{
    // 确认邮箱验证令牌提供者未被替换
    options.Tokens.EmailConfirmationTokenProvider = TokenOptions.DefaultEmailProvider;
    // 检查令牌有效期是否被意外缩短
    options.Tokens.DataProtectionTokenProvider.TokenLifespan = TimeSpan.FromHours(24);
})
.AddEntityFrameworkStores<ApplicationDbContext>()
.AddDefaultTokenProviders();

4. 校验数据库用户状态 #

查询aspnetUsers表，确认以下字段与代码更新值一致：

• Email、NormalizedEmail
• UserName、NormalizedUserName
• SecurityStamp、ConcurrencyStamp

若存在不一致，通过UserManager的API修正，避免直接修改数据库。

内容的提问来源于stack exchange，提问作者Traderhut Games