ASP.NET Core Identity重置密码提示‘无效令牌’但生成的令牌完全一致问题排查

首先，咱们先排查最可能的核心原因：你对令牌做了重复的URL编码，这直接导致了验证失败。

问题根源分析 #

默认情况下，GeneratePasswordResetTokenAsync 返回的令牌已经是适配URL传输的Base64Url编码格式了。但你的代码里额外多做了一次编码操作：

var code = await CommonServices.UserManager.GeneratePasswordResetTokenAsync(user);
// 这里的二次编码是多余的，会破坏令牌的原始结构
code = WebEncoders.Base64UrlEncode(Encoding.UTF8.GetBytes(code));

当用户点击链接后，你把这个被双重编码的令牌传给验证方法时，Identity框架会自动对传入的令牌做一次Base64Url解码，但此时得到的是原始令牌的字符串（而非生成令牌时的加密字节数据），自然会验证失败，提示“无效令牌”。

解决方案 #

去掉多余的编码步骤，直接使用GeneratePasswordResetTokenAsync返回的令牌构建回调URL即可：

var code = await CommonServices.UserManager.GeneratePasswordResetTokenAsync(user);
// 无需额外编码，直接拼接URL
var callbackUrl = $"{request.RequestData.ReturnUrl}?code={code}";

不用担心URL传输的特殊字符问题——Identity生成的令牌已经提前处理了这些场景，完全可以直接作为URL参数使用。

关于AspNetUserTokens表的疑问 #

你提到生成令牌后在AspNetUserTokens表中找不到记录，这是正常现象。因为默认的密码重置令牌使用的是DataProtectionTokenProvider，它的工作机制是：

• 基于用户的唯一标识（如ID）、安全戳（SecurityStamp）以及数据保护系统生成加密令牌
• 验证时通过解密令牌并校验用户当前的安全戳等信息判断有效性
• 不需要将令牌持久化到数据库中

只有当你使用需要存储令牌的Provider（比如短信/电话验证码的PhoneNumberTokenProvider，或自定义的需持久化令牌的Provider）时，才会在AspNetUserTokens表中生成记录。

额外排查建议 #

如果问题仍存在，可以做以下检查：

• 生成令牌时直接输出GeneratePasswordResetTokenAsync的返回值，接收时输出控制器收到的令牌，确保两者完全一致（没有被URL转义或二次处理）
• 确认用户的SecurityStamp在生成令牌后没有发生变化（比如用户修改密码会自动更新SecurityStamp，这会导致旧令牌失效）

内容的提问来源于stack exchange，提问作者user2058413