如何在C#中以编程方式修改web.config里<system.identityModel>的thumbprint值

问题分析 #

你之前的代码未生效的核心原因是：仅创建了新的SecurityTokenHandlerConfiguration实例，但未将其替换到系统正在使用的全局FederationConfiguration中，导致修改的配置从未被应用。

正确实现方案 #

要动态修改<trustedIssuers>中的thumbprint，需替换全局的FederationConfiguration，确保应用全程使用新配置。以下是可直接运行的代码：

// 1. 创建全新的身份配置实例
var identityConfig = new IdentityConfiguration();

// 2. 配置受众限制（保留你原有业务需求的设置）
identityConfig.AudienceRestriction.AudienceMode = AudienceUriMode.Always;
identityConfig.AudienceRestriction.AllowedAudienceUris.Add(new Uri("https://application.local/"));

// 3. 配置证书验证规则
identityConfig.CertificateValidationMode = X509CertificateValidationMode.ChainTrust;
identityConfig.RevocationMode = X509RevocationMode.Online;
identityConfig.CertificateValidator = X509CertificateValidator.ChainTrust;

// 4. 构建可信颁发者注册表
var issuerRegistry = new ConfigurationBasedIssuerNameRegistry();
// 可选：清空原有可信颁发者（如需完全替换而非追加）
issuerRegistry.ClearTrustedIssuers();
// 添加新的Thumbprint和对应颁发者名称
issuerRegistry.AddTrustedIssuer("你的目标Thumbprint值", "ADFS Signing - adfs.example.local");
identityConfig.IssuerNameRegistry = issuerRegistry;

// 5. 创建新的联邦配置，保留原有WSFederation设置（避免破坏其他配置）
var federationConfig = new FederationConfiguration
{
    IdentityConfiguration = identityConfig,
    WsFederationConfiguration = FederatedAuthentication.FederationConfiguration.WsFederationConfiguration
};

// 6. 将新配置替换为全局默认配置
FederatedAuthentication.FederationConfiguration = federationConfig;

// 7. 重新初始化SecurityTokenHandlers，确保新配置立即生效
SecurityTokenHandlers = SecurityTokenHandlerCollection.CreateDefaultSecurityTokenHandlerCollection(identityConfig);

关键注意事项 #

• 替换全局配置是核心：只有让应用全局使用新的FederationConfiguration，Thumbprint的修改才会生效。
• 执行时机：建议在应用启动阶段（如Global.asax的Application_Start方法）执行这段代码，确保所有请求处理前配置已更新。
• 追加/替换可选：如果不需要清空原有可信颁发者，直接调用AddTrustedIssuer即可实现追加效果。

灵活替代方案：自定义IssuerNameRegistry #

如果需要更灵活的动态管理（比如运行时随时增删Thumbprint），可以自定义IssuerNameRegistry实现：

public class DynamicIssuerRegistry : IssuerNameRegistry
{
    private readonly Dictionary<string, string> _trustedIssuers = new(StringComparer.OrdinalIgnoreCase);

    public void AddTrustedIssuer(string thumbprint, string issuerName)
    {
        if (!_trustedIssuers.ContainsKey(thumbprint))
        {
            _trustedIssuers.Add(thumbprint, issuerName);
        }
    }

    public void RemoveTrustedIssuer(string thumbprint)
    {
        _trustedIssuers.Remove(thumbprint);
    }

    public override string GetIssuerName(SecurityToken securityToken)
    {
        var x509Token = securityToken as X509SecurityToken;
        if (x509Token == null)
        {
            throw new SecurityTokenException("仅支持X509类型安全令牌");
        }

        var thumbprint = x509Token.Certificate.Thumbprint;
        if (_trustedIssuers.TryGetValue(thumbprint, out var issuerName))
        {
            return issuerName;
        }

        throw new SecurityTokenException("未信任的颁发者");
    }
}

使用时只需替换代码中的ConfigurationBasedIssuerNameRegistry为自定义类即可：

var dynamicRegistry = new DynamicIssuerRegistry();
dynamicRegistry.AddTrustedIssuer("你的目标Thumbprint值", "ADFS Signing - adfs.example.local");

var identityConfig = new IdentityConfiguration
{
    IssuerNameRegistry = dynamicRegistry,
    // 其他配置项保持不变
};

// 后续替换全局FederationConfiguration的步骤同上

内容的提问来源于stack exchange，提问作者Zoblod-1