Duende IdentityServer 6手动密钥管理遇RSA已释放异常求排查

这个错误的核心原因是你创建的RSA对象在IdentityServer还需要调用它时，已经被提前Dispose回收了。大概率是你用using块包裹了RSA实例，或者手动调用了Dispose()方法，导致后续IdentityServer尝试访问签名/验证密钥时，对象已经不存在。

比如典型的错误写法：

// 错误示例：using块会自动释放RSA对象，IdentityServer后续访问会报错
using var rsa = RSA.Create();
rsa.ImportFromPem(privateKeyPem);

builder.Services.AddIdentityServer()
    .AddInMemoryApiScopes(...)
    .AddInMemoryClients(...)
    .AddSigningCredential(new RsaSecurityKey(rsa));

修复方法很简单，不要让RSA对象被提前释放，直接创建实例交给IdentityServer托管生命周期：

// 正确写法：不使用using，让IdentityServer负责密钥对象的生命周期管理
var rsa = RSA.Create();
rsa.ImportFromPem(privateKeyPem);

builder.Services.AddIdentityServer()
    .AddInMemoryApiScopes(...)
    .AddInMemoryClients(...)
    .AddSigningCredential(new RsaSecurityKey(rsa));

另外还要注意：如果是从文件流读取公私钥，不要在关闭流时连带释放RSA相关资源，确保密钥对象在IdentityServer运行全程都能被访问。

1. 从PEM文件加载公私钥 #

直接读取本地PEM格式的公私钥文件，导入到RSA对象即可，注意不要提前Dispose：

// 读取私钥PEM文件
var privateKeyPath = Path.Combine(Directory.GetCurrentDirectory(), "keys", "private.pem");
var privateKeyPem = File.ReadAllText(privateKeyPath);

var rsa = RSA.Create();
rsa.ImportFromPem(privateKeyPem);

builder.Services.AddIdentityServer()
    .AddSigningCredential(new RsaSecurityKey(rsa))
    // 其他配置项...

2. 使用PFX证书文件（推荐生产环境） #

如果有包含公私钥的PFX证书文件，可以直接加载证书，Duende会自动处理密钥生命周期，完全避免释放问题：

var certPath = Path.Combine(Directory.GetCurrentDirectory(), "keys", "idsrv-cert.pfx");
var cert = new X509Certificate2(certPath, "你的证书密码");

builder.Services.AddIdentityServer()
    .AddSigningCredential(cert)
    // 其他配置项...

3. 从配置文件读取公私钥字符串 #

把PEM格式的公私钥字符串存入appsettings.json，再读取导入：

// appsettings.json
{
  "IdentityServer": {
    "PrivateKey": "-----BEGIN RSA PRIVATE KEY-----...-----END RSA PRIVATE KEY-----"
  }
}

var privateKey = builder.Configuration["IdentityServer:PrivateKey"];
var rsa = RSA.Create();
rsa.ImportFromPem(privateKey);

builder.Services.AddIdentityServer()
    .AddSigningCredential(new RsaSecurityKey(rsa))
    // 其他配置项...

4. 使用专业密钥存储服务（生产环境最优解） #

不建议明文存储密钥，生产环境可以用以下方式：

• 操作系统内置密钥存储（Windows CNG、Linux Keyring）
• 云服务商密钥管理服务（Azure Key Vault、AWS KMS）
  Duende IdentityServer原生支持从这些服务加载密钥，既安全又无需手动处理RSA对象的生命周期问题。

内容的提问来源于stack exchange，提问作者Farkh Bahadur