Web应用认证：能否动态配置JWT的Issuer、Audience及使用PostConfigure？

一、用PostConfigure动态修改JWT验证参数 #

完全可以通过PostConfigure实现TokenValidationParameters中Issuer和Audience的动态修改，它能在初始配置完成后对选项进行调整，适配从数据库、配置中心等外部源实时读取有效值的场景。

示例代码如下：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        // 先配置基础固定参数
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-signing-key")),
            ValidateLifetime = true
            // 此处暂不硬编码Issuer和Audience，留到PostConfigure中动态设置
        };
    });

// 用PostConfigure动态更新JwtBearer选项
services.PostConfigure<JwtBearerOptions>(JwtBearerDefaults.AuthenticationScheme, options =>
{
    // 模拟从外部源获取动态的Issuer和Audience列表
    var dynamicIssuers = new List<string> { "https://tenant-1-issuer.com", "https://tenant-2-issuer.com" };
    var dynamicAudiences = new List<string> { "app-tenant-1", "app-tenant-2" };

    // 更新验证参数
    options.TokenValidationParameters.ValidIssuers = dynamicIssuers;
    options.TokenValidationParameters.ValidAudiences = dynamicAudiences;
    options.TokenValidationParameters.ValidateIssuer = true;
    options.TokenValidationParameters.ValidateAudience = true;
});

二、JWT令牌生成时动态设置Issuer与Audiences #

生成JWT时也能动态指定Issuer和Audience，只需在创建JwtSecurityToken时，根据业务场景（比如租户信息、用户所属应用）传入对应参数即可。

示例代码：

public string GenerateDynamicJwt(string userId, string tenantId)
{
    // 根据租户动态生成Issuer和Audience
    var issuer = $"https://issuer-{tenantId}.example.com";
    var audience = $"app-{tenantId}";

    var claims = new List<Claim>
    {
        new Claim(ClaimTypes.NameIdentifier, userId),
        new Claim("TenantId", tenantId)
    };

    var signingKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-signing-key"));
    var credentials = new SigningCredentials(signingKey, SecurityAlgorithms.HmacSha256);

    var token = new JwtSecurityToken(
        issuer: issuer,
        audience: audience,
        claims: claims,
        expires: DateTime.UtcNow.AddHours(1),
        signingCredentials: credentials
    );

    return new JwtSecurityTokenHandler().WriteToken(token);
}

三、其他可行实现方式 #

除了PostConfigure，还有以下方案：

• 使用IOptionsSnapshot：将Issuer和Audience配置放在可动态刷新的源（如Azure配置中心、Consul），通过IOptionsSnapshot<JwtBearerOptions>实时读取最新配置，适合频繁更新的场景。
• 自定义验证参数提供服务：实现一个服务专门动态获取TokenValidationParameters，在AddJwtBearer时注入该服务实例。
• 自定义JWT验证器：继承ISecurityTokenValidator，重写ValidateToken方法，在验证过程中根据业务规则动态校验Issuer和Audience。

内容的提问来源于stack exchange，提问作者Pradeep Yadav