.NET 7 Web API用Postman生成JWT报invalid_token错误求助

问题出在你的JWT头指定了alg: HS256，但API配置里虽然关闭了ValidateIssuerSigningKey，却没处理签名验证的默认逻辑——TokenValidationParameters的ValidateSignature默认是开启的，这会让中间件仍要求提供有效的签名密钥来匹配Token的签名，因此抛出“签名密钥未找到”的错误。

解决方案一：完全跳过签名验证（测试场景首选） #

修改Program.cs中的JWT验证配置，添加ValidateSignature = false，彻底跳过签名验证：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(options =>
{
    options.RequireHttpsMetadata = false;
    options.SaveToken = true;
    options.IncludeErrorDetails = true;
    options.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuerSigningKey = false,
        ValidateIssuer = false,
        ValidateAudience = false,
        ValidateSignature = false, // 新增：跳过签名验证
        ClockSkew = TimeSpan.Zero
    };
});

解决方案二：匹配Postman的签名密钥（模拟真实流程） #

既然Postman生成Token时用的签名密钥是this_secret_doesnt_matter，可以在API配置中指定相同的密钥，让中间件能通过签名验证：

using System.Text;
using Microsoft.IdentityModel.Tokens;

// ...

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(options =>
{
    options.RequireHttpsMetadata = false;
    options.SaveToken = true;
    options.IncludeErrorDetails = true;
    options.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuerSigningKey = true, // 可选：设为true可验证密钥有效性
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("this_secret_doesnt_matter")), // 与Postman一致的密钥
        ValidateIssuer = false,
        ValidateAudience = false,
        ClockSkew = TimeSpan.Zero
    };
});

选择建议 #

• 若仅需快速测试Claims传递，方案一更直接高效；
• 若要模拟真实的JWT验证流程，方案二更贴合实际场景。

内容的提问来源于stack exchange，提问作者ScubaSteve