多实例IdentityServer跨实例生成重置密码令牌无效问题求助

问题场景 #

在多实例IdentityServer环境中，授权令牌可跨实例正常验证，但重置密码令牌若由不同实例生成，验证时会提示「无效令牌」。已确保所有实例使用相同的RSA签名密钥（用于授权令牌），但问题仍存在。

核心原因 #

• IdentityServer的授权令牌使用你配置的RSA密钥签名，多实例共享密钥后可正常跨实例验证。
• 重置密码令牌由AspNetIdentity模块生成，默认依赖ASP.NET Core的DataProtection系统进行加密/解密，而非IdentityServer的签名凭据。多实例环境下若未共享DataProtection密钥环，每个实例会生成独立的本地密钥，导致跨实例验证令牌失败。

解决方案 #

1. 配置共享DataProtection密钥存储 #

所有IdentityServer实例需使用统一的DataProtection配置，将密钥存储到共享介质（如数据库、Redis、共享文件系统），确保密钥跨实例一致。

以数据库存储为例，配置代码如下：

using Microsoft.AspNetCore.DataProtection;
using Microsoft.EntityFrameworkCore;

public void ConfigureServices(IServiceCollection services)
{
    // 现有IdentityServer配置...

    // 配置DataProtection共享密钥
    services.AddDataProtection()
        .SetApplicationName("YourIdentityServerApplication") // 所有实例必须使用相同的应用名称
        .PersistKeysToDbContext<YourAppDbContext>(); // 替换为你的项目DbContext，需先添加DataProtection的数据库迁移
}

2. 自定义令牌逻辑的额外检查 #

如果重置密码令牌是自定义实现的，需确认令牌的生成/验证逻辑未使用实例本地的加密密钥，可复用IdentityServer的RSA密钥进行签名和验证，确保跨实例一致性。

内容的提问来源于stack exchange，提问作者Samet Kızıltaş