OpenIddict如何从多个证书中选择签名证书

你在内核代码中没有定位到对应实现，是因为多证书选择逻辑没有做独立的模块拆分，而是内嵌在服务器端的凭据解析管道中，具体规则和扩展方式如下：

• 默认选择规则
  当你向OpenIddict注册了多个带私钥、密钥用法包含数字签名、有效期覆盖当前时间的合法签名证书时，框架会自动选择距离过期时间最远的证书作为当前活动签名证书，所有新签发的id_token、access_token、logout_token等安全令牌都会使用该证书对应的密钥完成签名。
• 多证书并存的默认行为
  所有符合有效性要求的已注册签名证书，都会被自动纳入OpenID Connect发现文档的JWKS（JSON Web Key Set）集合中，用于支持历史令牌验签。这个设计是为了实现无宕机证书轮换：新证书启用后，旧证书在剩余有效期内依然会保留在验签密钥列表中，直到过期后才会被自动移除，避免证书切换阶段已签发的令牌验签失败。
• 自定义选择逻辑的实现
  框架本身提供了签名凭据选择的扩展点，不需要修改内核代码即可自定义选择规则，只需要在服务配置阶段赋值SigningCredentialsSelector委托即可，示例代码如下：

  services.AddOpenIddict()
      .AddServer(options =>
      {
          // 注册多个可用签名证书
          options.AddSigningCertificate(certA);
          options.AddSigningCertificate(certB);
  
          // 自定义签名凭据选择逻辑
          options.SigningCredentialsSelector = availableCredentials =>
          {
              // 示例：优先选择指纹匹配指定值的证书作为签名凭据
              var activeCredential = availableCredentials.First(cred =>
                  cred.Key is X509SecurityKey key &&
                  key.Certificate.Thumbprint.Equals("目标证书指纹", StringComparison.OrdinalIgnoreCase));
              
              return new[] { activeCredential };
          };
      });
  

• 排查注意点
  没有私钥、已过期、密钥用法未标记数字签名的证书，会在服务启动的凭据校验环节被直接过滤，不会进入待选择的凭据池。如果只查看证书注册相关的代码片段，很容易遗漏后续的凭据过滤、选择器执行逻辑，误以为框架没有提供多证书选择能力。

内容的提问来源于stack exchange，提问作者nexus