.NET 4.8 WebAPI xUnit测试JWT提供程序实例化报错解决

先明确三个待确认疑问的结论：

• 异常确实和System.Configuration.ConfigurationManager加载相关，但核心诱因是代码违反依赖倒置原则，类内部硬编码实例化外部依赖，导致单元测试无法隔离环境差异：xUnit测试进程不会自动加载Web项目的web.config配置，也不会继承Web项目的程序集绑定重定向规则，实例化JwtTokenProvider时读取machineKey配置的逻辑触发了程序集加载失败。
• 必须MockApiOAuthProvider，之前尝试Mock具体类失败是因为Moq生成具体类的代理实例时，默认会执行基类构造函数，依然会触发内部JwtTokenProvider的实例化流程，正确做法是依赖抽象接口而非具体实现。
• 手动生成测试Token无法绕过异常，异常在控制器构造阶段就会触发，根本不会进入Token生成的业务方法逻辑。

临时快速修复（不推荐，仅用于快速跑通测试） #

如果暂时不想调整业务代码结构，可通过补全测试项目环境绕过异常：

1. 给xUnit测试项目安装和WebAPI项目版本完全一致的System.Configuration.ConfigurationManager NuGet包
2. 在测试项目下添加app.config配置文件，补全machineKey配置和程序集绑定重定向：

<configuration>
  <configSections>
    <sectionGroup name="system.web" type="System.Web.Configuration.SystemWebSectionGroup, System.Web, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a">
      <section name="machineKey" type="System.Web.Configuration.MachineKeySection, System.Web, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a"/>
    </sectionGroup>
  </configSections>
  <system.web>
    <!-- 配置值和Web项目web.config中的machineKey节点完全一致 -->
    <machineKey validationKey="测试用固定ValidationKey" decryptionKey="测试用固定DecryptionKey" validation="HMACSHA256" decryption="AES"/>
  </system.web>
  <runtime>
    <assemblyBinding xmlns="urn:schemas-microsoft-com:asm.v1">
      <dependentAssembly>
        <assemblyIdentity name="System.Configuration.ConfigurationManager" publicKeyToken="cc7b13ffcd2ddd51" culture="neutral"/>
        <bindingRedirect oldVersion="0.0.0.0-8.0.0.0" newVersion="当前安装的NuGet包对应版本号"/>
      </dependentAssembly>
    </assemblyBinding>
  </runtime>
</configuration>

该方案的问题：单元测试会耦合真实的Token生成逻辑、配置环境，无法做到单测隔离，后续配置变更会直接导致测试失败

标准重构方案（推荐，符合单元测试最佳实践） #

按照依赖倒置原则重构代码，彻底解耦依赖：

1. 定义Token生成服务的抽象接口：

public interface ITokenProvider
{
    JObject GenerateToken(User userDetail);
}

2. 改造ApiOAuthProvider实现该接口，同时将内部硬编码的依赖改为构造函数注入，保留无参构造兼容OWIN中间件的原有调用逻辑：

[EnableCors("*", "*", "*")]
public class ApiOAuthProvider : OAuthAuthorizationServerProvider, ITokenProvider
{
    private readonly JwtTokenProvider _jwtTokenProvider;

    // 保留原有无参构造，供OWIN认证中间件调用
    public ApiOAuthProvider() : this(new JwtTokenProvider())
    {
    }

    // 新增依赖注入构造函数
    public ApiOAuthProvider(JwtTokenProvider jwtTokenProvider)
    {
        _jwtTokenProvider = jwtTokenProvider;
    }

    // 原有GenerateToken、CreateProperties等业务逻辑保持不变
}

3. 改造AccountsController，依赖ITokenProvider抽象而非具体类：

public class AccountsController : ApiController
{
    private readonly ITokenProvider _jwtTokenProvider;
    private readonly ICommonBL _commonBL;
    private readonly ISystemSettingsBL _systemSettingsBL;

    public AccountsController(ITokenProvider jwtTokenProvider, ICommonBL commonBL, ISystemSettingsBL systemSettingsBL)
    {
        _jwtTokenProvider = jwtTokenProvider;
        _commonBL = commonBL;
        _systemSettingsBL = systemSettingsBL;
    }

    // 原有接口业务逻辑保持不变
}

4. 修正WebAPI的依赖注入配置：你之前使用的services.AddSingleton<ApiOAuthProvider>()是ASP.NET Core的API，无法在.NET Framework 4.8 WebAPI中使用，需要按照你当前项目使用的DI容器（Unity/Autofac/默认DependencyResolver）注册ITokenProvider和ApiOAuthProvider的映射关系即可。
5. 改造单元测试代码，直接MockITokenProvider接口，完全跳过真实Token生成类的构造逻辑：

public class AccountsControllerTests : BaseUnitTest
{
    private readonly Mock<ITokenProvider> _tokenProviderMock;
    private readonly Mock<ICommonBL> _commonBLMock;
    private readonly Mock<ISystemSettingsBL> _systemSettingsBLMock;
    private readonly AccountsController _accountsController;

    public AccountsControllerTests()
    {
        _tokenProviderMock = new Mock<ITokenProvider>();
        _commonBLMock = new Mock<ICommonBL>();
        _systemSettingsBLMock = new Mock<ISystemSettingsBL>();
        _accountsController = new AccountsController(_tokenProviderMock.Object, _commonBLMock.Object, _systemSettingsBLMock.Object);
    }

    [Fact]
    public void Token_Returns_Valid_Result_When_User_Exists()
    {
        // 测试逻辑编排
        var testUser = new User { UserName = "test_account" };
        var expectResult = JObject.FromObject(new { access_token = "test_token", expires_in = 3600 });
        _commonBLMock.Setup(bl => bl.GetUserInformation("test_account")).Returns(testUser);
        _tokenProviderMock.Setup(p => p.GenerateToken(testUser)).Returns(expectResult);

        // 执行接口
        var actualResult = _accountsController.Token(new User { UserName = "test_account" });

        // 断言结果
        Assert.Equal(expectResult, actualResult);
        _commonBLMock.Verify(bl => bl.GetUserInformation("test_account"), Times.Once);
        _tokenProviderMock.Verify(p => p.GenerateToken(testUser), Times.Once);
    }
}

• 所有外部依赖禁止在类内部通过new直接实例化，统一通过构造函数注入抽象接口，保证实现可替换、测试可Mock
• 抽离独立的配置读取服务封装ConfigurationManager相关逻辑，不要在业务类的字段初始化阶段直接读取配置，避免类实例化耦合运行环境
• 跨域策略不要通过Controller、Provider类上的[EnableCors]特性配置，统一在OWIN启动类或WebAPI全局配置中集中管理
• JwtTokenProvider中的静态签名密钥存在线程安全和配置更新不生效问题，建议改为实例级配置，通过构造函数传入签名密钥，不要直接依赖Web配置节点读取

内容的提问来源于stack exchange，提问作者Hank