Duende Identity Server访问令牌签名算法配置及Key表用途咨询

1. 为特定API资源指定访问令牌签名算法 #

Duende Identity Server支持为单个API资源单独配置访问令牌的签名算法，只需在定义API资源时设置AccessTokenSigningAlgorithm属性即可：

示例代码（内存配置方式） #

builder.Services.AddIdentityServer()
    .AddInMemoryApiResources(new List<ApiResource>
    {
        new ApiResource("your-target-api")
        {
            Name = "目标API名称",
            Scopes = { "api.read", "api.write" },
            // 替换为你需要的算法，比如ES256、HS256、RS384等
            AccessTokenSigningAlgorithm = "ES256"
        }
    })
    // 其他必要配置（如客户端、密钥等）
    .AddDeveloperSigningCredential(); // 仅开发环境使用，生产环境需用持久化密钥

注意事项 #

• 必须确保Identity Server拥有对应算法的可用密钥：比如指定ES256时需配置EC类型密钥，指定HS256时需配置对称密钥。
• 生产环境建议用数据库存储密钥（即下文的Key表），避免重启服务后密钥丢失导致旧令牌无法验证。

2. Key表的作用与用途 #

Key表是Duende Identity Server用于持久化存储加密/签名密钥的数据库表，核心用途包括：

• 令牌签名与验证：存储用于签名JWT令牌（访问令牌、ID令牌）的密钥，同时保留过期密钥一段时间，用来验证之前签发的旧令牌。
• 密钥生命周期管理：自动处理密钥轮换，生成新密钥、标记旧密钥为过期状态，在保证系统安全的同时兼容旧令牌验证。
• 分布式部署支持：多实例部署场景下，所有实例共享Key表中的密钥，确保令牌在不同实例间能正确验证。
• 加密支持：如果需要加密JWT令牌（而非仅签名），Key表也会存储用于加密的密钥。

Key表的核心字段通常包含：密钥ID（kid）、密钥类型（RSA/EC/对称）、算法标识、创建时间、过期时间、是否启用等。

内容的提问来源于stack exchange，提问作者xxxyyy