ASP.NET Core调用Apple DeviceCheck API遇401：授权令牌验证失败

我之前对接Apple DeviceCheck API时也踩过这个401的坑，结合你的代码来看，主要有几个关键环节没处理到位，咱们一步步来修正：

1. JWT Payload缺少必填的exp字段 #

Apple的DeviceCheck API明确要求JWT必须包含exp（过期时间）字段，且过期时间不能晚于签发时间（iat）之后的20分钟。你的代码里只设置了iat，这会直接导致Token验证失败。

修正后的Payload需要加上过期时间：

var payload = new Dictionary<string, object>()
{
    { "iss", MembershipTeamId },
    { "iat", DateTimeOffset.UtcNow.ToUnixTimeSeconds() },
    { "exp", DateTimeOffset.UtcNow.AddMinutes(15).ToUnixTimeSeconds() } // 设置15分钟过期，符合Apple的20分钟上限要求
};

2. 修正CngKey的创建方式 #

方法一：使用BouncyCastle正确导入P8私钥 #

你的BouncyCastle实现里，EccKey.New的参数匹配逻辑可能有问题。试试直接将BouncyCastle解析出的私钥转换为PKCS8格式，再导入为CngKey：

private static CngKey GetCngKey()
{
    using (var reader = System.IO.File.OpenText(@"C:\pathto\key.p8"))
    {
        var pemReader = new PemReader(reader);
        var privateKeyParams = (ECPrivateKeyParameters)pemReader.ReadObject();
        
        // 将BouncyCastle的EC私钥转换为标准PKCS8字节数组
        var pkcs8Generator = new Pkcs8Generator(privateKeyParams);
        var pkcs8Bytes = pkcs8Generator.Generate().GetEncoded();
        
        // 导入为CngKey，指定使用Apple要求的P-256曲线
        return CngKey.Import(pkcs8Bytes, CngKeyBlobFormat.Pkcs8PrivateBlob);
    }
}

方法二：直接导入P8密钥的正确姿势 #

如果用第二种方法，处理P8文件内容时必须做严格清理：

• 完全移除-----BEGIN PRIVATE KEY-----和-----END PRIVATE KEY-----标记
• 删除所有换行符、空白行
• 只保留纯Base64字符串

修正后的代码可以加入清理步骤：

private static CngKey GetCngKey2()
{
    var rawP8Content = System.IO.File.ReadAllText(@"C:\pathto\key.p8");
    var cleanedP8Content = rawP8Content
        .Replace("-----BEGIN PRIVATE KEY-----", string.Empty)
        .Replace("-----END PRIVATE KEY-----", string.Empty)
        .Replace("\r", string.Empty)
        .Replace("\n", string.Empty)
        .Trim();
    
    var keyBytes = Convert.FromBase64String(cleanedP8Content);
    return CngKey.Import(keyBytes, CngKeyBlobFormat.Pkcs8PrivateBlob);
}

3. 额外验证点 #

• 确认MembershipTeamId是你的Apple Developer团队ID（10位字符串），P8KeyId是生成P8密钥时的对应Key ID（10位字符串），两者不能搞混。
• 确保调用的是开发版环境的DeviceCheck API（https://api.development.devicecheck.apple.com/v1/validate_device_token），如果用生产环境URL但传入开发版Token也会返回401。
• 检查Jose库版本，确保使用支持ES256算法的最新版本，避免库本身的兼容性问题。

调整完这些后重新生成JWT调用API，应该就能解决401的问题了。

内容的提问来源于stack exchange，提问作者Ulysse