能否基于Identity Server 4模板实现JWT认证的MVC客户端？

核心结论 #

完全不需要从头重构项目，你的现有IS4模板可以直接改造支持JWT令牌认证。出现SignInManager兼容问题，是因为混淆了Identity Server作为授权服务器发JWT和MVC客户端用JWT做本地认证这两个不同场景——SignInManager是ASP.NET Identity用来管理Cookie登录的组件，和JWT认证本身没有冲突，只要理清配置边界就能解决。

改造步骤（分Identity Server端和MVC客户端） #

一、Identity Server端（.NET 3.1） #

你的现有配置其实已经支持颁发JWT令牌，只需调整ApiResource配置，确保令牌包含正确的受众和声明：

1. 更新Config.cs中的ApiResource定义
   原GetApiResources方法补充用户声明和关联ApiScope，让JWT包含必要内容：

public static IEnumerable<ApiResource> GetApiResources()
{
    yield return new ApiResource("SwaggerAPI")
    {
        UserClaims = { ClaimTypes.Name, ClaimTypes.Email, ClaimTypes.DateOfBirth }
    };
    yield return new ApiResource("OrdersAPI")
    {
        UserClaims = { ClaimTypes.Name, ClaimTypes.Email, ClaimTypes.DateOfBirth },
        Scopes = { "OrdersAPI" } // 关联对应的ApiScope
    };
}

2. 无需修改Startup.cs核心认证配置
   当前AddIdentityServer配置已默认颁发JWT令牌，不需要额外给IS4添加JWT认证中间件——IS4的核心功能就是生成和验证JWT，AddAspNetIdentity仅用来关联用户体系，和SignInManager的兼容问题在这里不存在，之前的错误应该是错误在IS4端添加AddJwtBearer导致的，完全不需要这一步。

二、MVC客户端（.NET 6.0） #

MVC客户端默认用Cookie保存用户会话，要调用API时使用JWT令牌即可，无需替换Cookie认证，推荐两种场景：

场景1：保留Cookie认证，用JWT调用API（MVC场景首选）

你的现有客户端配置已开启SaveTokens = true，会把JWT令牌保存在Cookie中，只需在调用API时从HttpContext取出令牌：

// Controller中调用OrdersAPI示例
private readonly IHttpClientFactory _httpClientFactory;

public HomeController(IHttpClientFactory httpClientFactory)
{
    _httpClientFactory = httpClientFactory;
}

public async Task<IActionResult> CallApi()
{
    var client = _httpClientFactory.CreateClient();
    // 从认证会话获取AccessToken
    var accessToken = await HttpContext.GetTokenAsync("access_token");
    client.SetBearerToken(accessToken);
    
    var response = await client.GetAsync("https://your-api-url/api/orders");
    if (response.IsSuccessStatusCode)
    {
        var content = await response.Content.ReadAsStringAsync();
        return View("ApiResult", content);
    }
    return View("Error");
}

这种方式完全兼容SignInManager，用户登录仍用Cookie，JWT仅作为API调用凭证。

场景2：替换为JWT认证（不推荐MVC服务器端应用）

如果一定要让MVC客户端直接用JWT做身份验证，需修改认证配置，但SignInManager依赖Cookie，因此无法再使用PasswordSignInAsync等方法：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = "https://localhost:5001";
        options.Audience = "OrdersAPI";
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true
        };
    });

这种方式下，MVC客户端需自行处理令牌的获取、存储和刷新，SignInManager相关方法会失效——这就是你之前遇到兼容错误的原因。

常见问题说明 #

• 为什么加JWT配置会和SignInManager冲突？
  大概率是你错误将默认认证方案改成了JWT，而SignInManager默认依赖Cookie认证方案，当默认方案不是Cookie时，SignInManager找不到对应中间件就会报错。解决方法是保持默认认证方案为Cookie，JWT仅作为API调用凭证。
• IS4模板默认支持JWT吗？
  是的，IS4核心就是基于OAuth2.0和OpenID Connect协议颁发JWT令牌，现有模板已具备该能力，只需正确配置ApiResource和Client即可。

内容的提问来源于stack exchange，提问作者Глеб Берёзкин