ASP.NET Identity重置密码、邮箱确认时令牌始终无效求助

你遇到的令牌校验失效问题，绝大多数情况是令牌传输过程未做URL编解码导致的。ASP.NET Core Identity生成的密码重置、邮箱确认令牌为Base64结构，天然包含+、/、=这类URL保留字符，直接拼接进邮件链接后，经过邮件客户端、浏览器跳转时会自动对特殊字符做转义，哪怕肉眼比对字符串完全一致，实际传入校验方法的令牌值已经和生成时的原始值不匹配，自然会提示无效。

你需要在生成令牌后、拼接链接前做编码，校验前做解码，不要直接传原始令牌：

• 令牌生成（发邮件侧）

var newUser = await _userManager.FindByEmailAsync(requestData.Email);
var rawCode = await _userManager.GeneratePasswordResetTokenAsync(newUser);
// 关键步骤：对原始令牌做URL安全编码，再拼接进邮件链接
var safeCode = WebEncoders.Base64UrlEncode(Encoding.UTF8.GetBytes(rawCode));
// 拼接重置链接，邮件里发这个链接即可
var resetUrl = $"https://你的站点地址/account/reset?email={newUser.Email}&code={safeCode}";

• 令牌校验（重置密码/确认邮箱侧）

// 先对前端传回来的编码后令牌做解码，还原为原始令牌
var rawCode = Encoding.UTF8.GetString(WebEncoders.Base64UrlDecode(model.Code));
// 再用原始令牌调用校验方法
var result = await _userManager.ResetPasswordAsync(user, rawCode, model.Password);

邮箱确认令牌的处理逻辑完全一致，把GeneratePasswordResetTokenAsync/ResetPasswordAsync换成对应的GenerateEmailConfirmationTokenAsync/ConfirmEmailAsync即可。

如果做了上述编解码处理仍然失效，按优先级排查以下配置问题：

• 确认生成和校验令牌的UserManager配置完全一致：不要出现生成令牌用默认TokenProvider，校验时自定义了新的TokenProvider配置的情况，令牌生成/校验逻辑依赖TokenProvider的参数，配置不一致直接校验失败。
• 确认令牌生命周期内用户的SecurityStamp没有被更新：用户修改密码、修改核心信息、变更角色/权限时，Identity会自动刷新用户的SecurityStamp值，之前生成的所有令牌会直接作废。
• 多实例部署场景下，所有服务实例必须共享同一个数据保护密钥环：如果每个实例用本地自动生成的临时密钥，实例A生成的令牌在实例B上永远无法校验通过。
• 确认令牌未超出有效期：Identity默认的令牌有效期为24小时，可通过注入DataProtectionTokenProviderOptions自定义有效期时长。

不要用手动字符串替换（比如把空格替换回+）的方式处理特殊字符，这种方式覆盖不全边界场景，直接用官方提供的WebEncoders做编解码是最稳妥的方案。

内容的提问来源于stack exchange，提问作者kabuto178