如何创建512位密钥的JWT令牌？修改RSA最小密钥长度限制

你遇到的IDX10630错误，是因为Microsoft IdentityModel库出于安全考量，默认要求用于RS256签名的RSA密钥至少为2048位。你尝试通过反射修改DefaultMinimumAsymmetricKeySizeInBitsForSigningMap的方法没生效，大概率是因为在.NET Core 3.1中这个字典是只读状态，或是你修改的时机晚于签名提供者的初始化时机。下面给你两种可行的解决方案：

方案一：正确修改密钥长度限制（仅临时测试用，不推荐生产环境） #

在.NET Core 3.1里，DefaultMinimumAsymmetricKeySizeInBitsForSigningMap是静态只读字段，直接修改键值对不会生效，你需要替换整个字典实例。试试这段代码：

// 获取签名限制的静态字段
var signingMapField = typeof(AsymmetricSignatureProvider)
    .GetField(nameof(AsymmetricSignatureProvider.DefaultMinimumAsymmetricKeySizeInBitsForSigningMap), 
        BindingFlags.Public | BindingFlags.Static);

// 复制原有规则并修改RS256的限制为512位
var newSigningMap = new Dictionary<string, int>(AsymmetricSignatureProvider.DefaultMinimumAsymmetricKeySizeInBitsForSigningMap)
{
    ["RS256"] = 512
};

// 替换原有字典
signingMapField.SetValue(null, newSigningMap);

// 同理修改验证用的密钥长度限制（如果需要验证该密钥签名的令牌）
var verifyingMapField = typeof(AsymmetricSignatureProvider)
    .GetField(nameof(AsymmetricSignatureProvider.DefaultMinimumAsymmetricKeySizeInBitsForVerifyingMap), 
        BindingFlags.Public | BindingFlags.Static);

var newVerifyingMap = new Dictionary<string, int>(AsymmetricSignatureProvider.DefaultMinimumAsymmetricKeySizeInBitsForVerifyingMap)
{
    ["RS256"] = 512
};

verifyingMapField.SetValue(null, newVerifyingMap);

⚠️ 注意：这段代码必须在你创建JwtSecurityTokenHandler和生成令牌之前执行，确保签名提供者初始化时用的是修改后的规则。另外，这种方式依赖框架内部实现，后续版本可能失效，且512位RSA密钥安全性极低，绝对不要在生产环境使用。

方案二：升级RSA密钥到2048位（推荐的安全方案） #

512位RSA密钥早已被证实容易被破解，从安全合规角度，最佳实践是生成2048位或更长的密钥。你可以通过以下方式生成：

• 使用OpenSSL命令行生成：

  openssl genrsa -out private.key 2048
  openssl rsa -in private.key -pubout -out public.key
  

• 或者在.NET代码中生成：

  using (var rsa = RSA.Create(2048))
  {
      // 导出带密码保护的私钥
      var encryptedPrivateKey = rsa.ExportEncryptedPkcs8PrivateKey(
          Encoding.UTF8.GetBytes("your-password"), 
          new PbeParameters(PbeEncryptionAlgorithm.Aes256Cbc, HashAlgorithmName.SHA256, 10000));
      var base64PrivateKey = Convert.ToBase64String(encryptedPrivateKey);
      // 保存或直接使用这个密钥
  }
  

升级密钥后，你的原有代码不需要任何修改就能正常运行，同时也符合安全规范。

为什么你之前的反射代码没生效？ #

在.NET Core 3.1中，DefaultMinimumAsymmetricKeySizeInBitsForSigningMap是readonly的静态字段，初始化后框架会限制对其键值对的直接修改。你之前的代码只是尝试修改字典里的值，但无法改变原有字典的内容，必须替换整个字典实例才能生效。

内容的提问来源于stack exchange，提问作者Kamran Shahid