ASP.NET MVC5配置OpenIdConnect添加profile scope时id_token验证失败

可能原因 #

添加profile scope后，私有OpenID服务器返回的id_token可能使用了默认验证器不支持的签名算法，或者中间件未正确获取服务器的签名密钥用于验证，同时未包含OpenID协议要求的核心openid scope，导致无法找到合适的ISecurityTokenValidator完成验证。

解决方案 #

1. 修正Scope配置，必须包含openid核心scope #

OpenID Connect协议要求认证请求必须携带openid scope，仅指定profile不符合规范，这是引发异常的常见原因。修改Scope配置为：

Scope = "openid profile",

2. 确保Authority可正常获取服务器元数据 #

确认Authority地址能访问OpenID配置元数据（访问{Authority}/.well-known/openid-configuration）。如果服务器元数据路径非默认，显式指定MetadataAddress：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions()
{
    Authority = "openid-server-domain.com",
    MetadataAddress = "https://openid-server-domain.com/custom-path/openid-configuration", // 自定义元数据路径
    // 其他现有配置...
});

3. 显式配置TokenValidationParameters验证规则 #

通过TokenValidationParameters明确验证逻辑，确保中间件能正确校验id_token：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions()
{
    Authority = "openid-server-domain.com",
    RedeemCode = true,
    SaveTokens = true,
    ResponseType = "code",
    ClientId = "***",
    ClientSecret = "***",
    RedirectUri = "https://localhost:55555/connect/redirect",
    Scope = "openid profile",
    PostLogoutRedirectUri = "/disconnect/sign-out",
    TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidIssuer = "openid-server-domain.com", // 从服务器元数据中获取的issuer值
        ValidateAudience = true,
        ValidAudience = "你的ClientId",
        ValidateIssuerSigningKey = true
        // 若服务器使用对称密钥，可手动指定：
        // IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("服务器对称密钥"))
    }
});

4. 启用从UserInfo端点获取Profile信息 #

如果profile信息需要从UserInfo端点获取（而非嵌入id_token），开启GetClaimsFromUserInfoEndpoint，既可以获取完整的用户资料，也能避免id_token过大导致的验证问题：

app.UseOpenIdConnectAuthentication(new OpenIdConnectAuthenticationOptions()
{
    // 其他现有配置...
    Scope = "openid profile",
    GetClaimsFromUserInfoEndpoint = true
});

5. 排查服务器返回的id_token内容 #

用调试工具（如Fiddler）捕获认证请求，检查服务器返回的id_token是否为空或格式异常。如果id_token为空，需检查私有OpenID服务器配置，确保请求openid profile scope时能正确生成并返回id_token。

内容的提问来源于stack exchange，提问作者Jay