C# 如何在独立TokenService类中生成OpenID Connect令牌

你在Startup.cs里配置的OpenIdConnectAuthenticationOptions是OWIN OpenID Connect认证中间件的专属配置类，和OWIN HTTP请求管道强绑定，作用是拦截未认证请求跳转身份源完成登录流程，本身不支持脱离请求上下文手动生成令牌，没法直接在独立的TokenService里实例化这个类来生成令牌。

要在独立的TokenService里按需生成带差异化配置的OIDC令牌，直接用标准OIDC客户端组件实现对应授权流程就行，完全不需要依赖OWIN认证中间件：

• 先把公共OIDC配置（比如身份源地址Authority、客户端Id、客户端密钥等）抽成公共配置实体，Startup和TokenService共用，差异化配置（比如Scope、令牌受众、有效期等）在TokenService里单独定义即可。
• 根据令牌的使用场景选对应的OAuth2授权流：
  • 服务间无用户上下文调用：选客户端凭证流（Client Credentials），生成的是应用身份令牌，给后端服务之间调用消费
  • 带用户身份上下文场景：如果要生成代表登录用户的令牌，配合之前中间件里存储的用户刷新令牌，走刷新令牌流获取新令牌就行

代码示例 #

以下是客户端凭证流的TokenService实现，适合生成服务间调用用的令牌：

public class TokenService
{
    private readonly OidcConfig _oidcConfig;
    // 加缓存避免重复请求身份源，防止触发限流
    private readonly IMemoryCache _tokenCache;

    // 构造函数注入配置和缓存
    public TokenService(IOptions<OidcConfig> oidcConfig, IMemoryCache memoryCache)
    {
        _oidcConfig = oidcConfig.Value;
        _tokenCache = memoryCache;
    }

    public async Task<string> GenerateToken(string customScope = null, string customAudience = null)
    {
        // 差异化配置单独传参，和Startup里的登录配置完全隔离
        var targetScope = customScope ?? "default_api_scope";
        var cacheKey = $"oidc_token_{targetScope}_{customAudience}";

        // 缓存命中且没过期直接返回
        if (_tokenCache.TryGetValue(cacheKey, out string cachedToken) && !string.IsNullOrEmpty(cachedToken))
        {
            return cachedToken;
        }

        // 从身份源拉取元数据配置
        var disco = await DiscoveryClient.GetAsync(_oidcConfig.Authority);
        if (disco.IsError) throw new InvalidOperationException($"获取OIDC元数据失败: {disco.Error}");

        // 发起令牌请求
        var tokenClient = new TokenClient(disco.TokenEndpoint, _oidcConfig.ClientId, _oidcConfig.ClientSecret);
        var tokenResponse = await tokenClient.RequestClientCredentialsAsync(
            scope: targetScope,
            parameters: new Dictionary<string, string>
            {
                {"audience", customAudience ?? _oidcConfig.DefaultAudience}
            });

        if (tokenResponse.IsError) throw new InvalidOperationException($"生成令牌失败: {tokenResponse.Error}");

        // 写入缓存，过期时间比令牌实际过期早5分钟，避免返回过期令牌
        var cacheExpire = DateTimeOffset.Now.AddSeconds(tokenResponse.ExpiresIn - 300);
        _tokenCache.Set(cacheKey, tokenResponse.AccessToken, cacheExpire);

        return tokenResponse.AccessToken;
    }
}

// 公共OIDC配置实体
public class OidcConfig
{
    public string Authority { get; set; }
    public string ClientId { get; set; }
    public string ClientSecret { get; set; }
    public string DefaultAudience { get; set; }
}

注意事项 #

• 别想着直接复用OpenIdConnectAuthenticationOptions生成令牌，这个类只是给OWIN中间件传参用的，内部逻辑依赖OWIN上下文的认证管理器、Cookie存储等组件，脱离HTTP请求管道运行直接会抛空引用错误，走不通。
• 如果要生成带用户身份的令牌，需要在Startup的SecurityTokenValidated通知事件里，把身份源返回的refresh_token存到用户Claim或者独立存储里，在TokenService里取出refresh_token后调用客户端的RequestRefreshTokenAsync方法就能拿到新的用户令牌。
• 令牌一定要加缓存，不要每次调用都去请求身份源，很容易触发身份源的限流规则。

内容的提问来源于stack exchange，提问作者slokh