.NET 6+Angular14部署IIS后登录报503：密钥缺失问题求助

核心原因定位 #

这个错误是ASP.NET Core数据保护系统无法找到解密认证票据（如JWT、Cookie认证加密信息）的密钥导致的。开发环境IIS Express依赖用户配置文件内的密钥环，而生产环境IIS应用池的身份隔离或密钥存储路径权限问题，会导致密钥无法被加载。

具体排查与解决步骤 #

1. 核对密钥存储路径及权限 #

• 默认情况下，.NET 6数据保护密钥的存储位置随应用池身份变化：
  • 用ApplicationPoolIdentity时：C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys
  • 用特定本地/域用户时：C:\Users\[用户名]\AppData\Local\ASP.NET\DataProtection-Keys
• 检查对应路径下是否存在包含目标kid: FB30056547480314CDD1824BFB8D469F的密钥文件，同时给应用池身份分配该路径的读取权限（无需给Everyone权限，最小权限原则即可）。

2. 显式配置密钥持久化路径 #

如果默认路径的权限隔离问题难以处理，直接在Program.cs中指定统一的密钥存储目录，确保环境间密钥可访问：

builder.Services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"D:\YourApp\DataProtectionKeys"))
    .SetApplicationName("YourAppName");

• 将D:\YourApp\DataProtectionKeys替换为应用目录下的专属子文件夹，给应用池身份分配该文件夹的读写权限。
• 可将开发环境生成的密钥文件（从本地C:\Users\[你的用户名]\AppData\Local\ASP.NET\DataProtection-Keys拷贝）放到生产路径，或让生产环境自动生成新密钥（多服务器部署需同步密钥）。

3. 开启应用池的用户配置文件加载 #

• 打开IIS管理器，找到目标应用池 → 高级设置 → 进程模型 → 将加载用户配置文件设为True。
• 多数ApplicationPoolIdentity身份无法访问用户级密钥存储，都是因为这个选项未开启，导致密钥环无法正常加载。

4. 排查认证中间件配置问题 #

• 检查Program.cs中的认证配置，确认未误用开发环境专属的临时密钥：

  // 避免在生产环境使用仅用于开发的临时密钥
  // builder.Services.AddAuthentication().AddJwtBearer(options => { ... })
  // 确保JWT/Cookie认证使用数据保护系统的持久化密钥
  

• 不要在生产环境中调用AddDeveloperSigningCredential()，该方法仅用于开发调试，生产必须依赖持久化密钥。

5. 验证503错误的关联逻辑 #

503服务不可用的本质是密钥加载失败导致应用启动异常或请求处理崩溃，解决密钥问题后503会自动消失。可查看应用日志文件（如Logs目录下的日志），确认是否存在启动阶段的密钥加载异常。

内容的提问来源于stack exchange，提问作者Tony