如何在ASP.NET Core中使用JwtSecurityTokenHandler().ValidateToken验证Microsoft单点登录的MSAL令牌

咱们一步步来解决你遇到的令牌验证问题，先从你提到的几个疑问入手：

1. 公钥获取URL是否正确？Client_ID是否可行？ #

你用的https://login.microsoftonline.com/{my tenant guid}/discovery/v2.0/keys?client_id={my client guid}是可以正常获取公钥的，Azure AD会忽略这个额外的client_id参数（除非是一些特殊的多租户场景，但你的情况没问题）。

另外，你提到配置里没有appid也没关系——其实在Azure AD v2.0端点中，client_id就是应用的唯一标识，和v1端点里的appid是同一个东西，只是命名不同，所以完全可以用client_id来标识你的应用。

更标准的做法是先请求OpenID Connect发现文档：https://login.microsoftonline.com/{tenant guid}/v2.0/.well-known/openid-configuration，然后从返回的JSON里取jwks_uri字段，这个就是官方推荐的公钥集合地址，和你现在用的URL本质是一样的。

2. 为什么只提示密钥不匹配，没出现受众/颁发者错误？ #

这是JWT验证的默认顺序导致的：签名验证是第一步，只有签名验证通过后，才会继续验证受众（Audience）、颁发者（Issuer）和令牌有效期等字段。所以当签名密钥不匹配时，验证流程直接终止，不会触发后续的受众/颁发者校验，自然看不到对应的错误提示。

3. 如何正确配置TokenValidationParameters？签名密钥从哪来？ #

你现在用SymmetricSecurityKey是错误的——Azure AD的ID Token是用RSA非对称密钥签名的，必须用对应的RSA公钥来验证，而不是自己生成对称密钥。正确的做法是从Azure AD的JWKS（JSON Web Key Set）端点获取公钥集合，然后配置到验证参数中。

修改后的代码示例 #

首先确保你引用了Microsoft.IdentityModel.Protocols.OpenIdConnect和Microsoft.IdentityModel.Tokens NuGet包，然后用以下代码完成验证：

using System.IdentityModel.Tokens.Jwt;
using Microsoft.IdentityModel.Protocols;
using Microsoft.IdentityModel.Protocols.OpenIdConnect;
using Microsoft.IdentityModel.Tokens;
using System.Net.Http;
using System.Threading;

// ... 你的现有代码 ...

var httpContext = context.GetHttpContext();
var cookies = httpContext.Request.Cookies;
var msalIdToken = cookies["msal." + this._clientId + ".idtoken"];

if (msalIdToken != null)
{
    var tenantId = "你的租户GUID";
    var clientId = "你的ClientId GUID";
    
    // 通过OpenID Connect发现文档获取配置（包括签名密钥）
    var metadataAddress = $"https://login.microsoftonline.com/{tenantId}/v2.0/.well-known/openid-configuration";
    var configurationManager = new ConfigurationManager<OpenIdConnectConfiguration>(
        metadataAddress,
        new OpenIdConnectConfigurationRetriever(),
        new HttpDocumentRetriever(new HttpClient()));
    
    // 异步获取配置（建议缓存，ConfigurationManager会自动处理缓存和更新）
    var openIdConfig = await configurationManager.GetConfigurationAsync(CancellationToken.None);
    
    // 配置验证参数
    var validationParams = new TokenValidationParameters
    {
        ValidAudience = clientId,
        ValidIssuer = $"https://login.microsoftonline.com/{tenantId}/v2.0",
        // 使用从Azure AD获取的签名密钥集合
        IssuerSigningKeys = openIdConfig.SigningKeys,
        ValidateIssuerSigningKey = true,
        ValidateLifetime = true, // 验证令牌有效期（默认开启，建议明确设置）
        ValidateAudience = true,
        ValidateIssuer = true
    };
    
    try
    {
        SecurityToken validatedToken;
        var identity = new JwtSecurityTokenHandler().ValidateToken(msalIdToken, validationParams, out validatedToken);
        
        // 验证成功，将身份信息赋值给HttpContext.User
        httpContext.User = new ClaimsPrincipal(identity);
        // 后续业务逻辑...
    }
    catch (SecurityTokenException ex)
    {
        // 处理验证失败的情况，比如签名无效、令牌过期等
        // ex.Message会包含具体错误信息
    }
}

关键说明 #

• MSAL中的签名密钥来源：MSAL内部也是通过OpenID Connect发现文档获取JWKS来验证令牌的，和我们手动实现的逻辑一致。
• 缓存密钥：ConfigurationManager会自动缓存获取到的签名密钥，并且定期检查Azure AD的密钥更新，不用你手动处理缓存逻辑。
• 避免硬编码：建议把租户ID、ClientID等配置放到appsettings.json中，不要硬编码在代码里。

内容的提问来源于stack exchange，提问作者tone