ASP.NET+Angular8集成IdentityServer4配证书后context.User为null授权失败

• Visual Studio 2019自带的Angular + ASP.NET Core应用模板
• Angular 8.2.12
• .NET 5
• MySQL后端数据库

项目基于IdentityServer4实现认证与授权功能，为IDS4实例配置证书后授权失效，context.User返回null。

证书读取代码 #

X509Certificate2 cert = null;
using (var certStore = new X509Store(StoreName.My, StoreLocation.LocalMachine))
{
    certStore.Open(OpenFlags.ReadOnly);
    // var certCollection = certStore.Certificates.Find(X509FindType.FindByThumbprint,"THUMBPRINT>", false);
    var certCollection = certStore.Certificates.Find(X509FindType.FindBySubjectName,"localhost", false);
    if (certCollection.Count > 0)
       cert = certCollection[0];
 }

IdentityServer4证书绑定配置 #

if(cert == null)
{
    services.AddIdentityServer()
        //.AddDeveloperSigningCredential()
        .AddSigningCredential(cert)
        .AddApiAuthorization<ApplicationUser, ApplicationDbContext>();
}
else
{
    services.AddIdentityServer()
        .AddSigningCredential(cert)
        .AddApiAuthorization<ApplicationUser, ApplicationDbContext>();
}

认证授权服务配置 #

services.AddAuthentication()                
    .AddIdentityServerJwt();

services.AddScoped<IAuthorizationHandler, UserAuthorizationHandler>();
services.AddAuthorization(options =>
{
      options.AddPolicy("default", policy =>
      {
            policy.RequireAuthenticatedUser();
            //To require the basic user_impersonation scope across the API, you can use:
            //policy.RequirePermissions(
            //    delegated: new[] { "user_impersonation" },
            //    application: new string[0]);
       });
       options.AddPolicy("LocalAuthorizationPolicy", policy => policy.Requirements.Add(new UserRequirement(CustomRoleTypes.SiteAdmin)));           
});

• 证书可正常读取并绑定到IDS4实例
• 用户认证流程正常，跳转逻辑无误，无授权限制的控制器方法可正常访问
• 控制器添加[Authorize]特性时接口返回401错误，AuthorizationHandlerContext与IHttpContextAccessor读取的ClaimsPrincipal均为null
• 问题仅在配置SigningCredentials时出现，未配置签名证书直接初始化IDS4时功能完全正常

1. 修复IDS4注册逻辑错误
   现有逻辑完全写反：cert为null的分支里调用AddSigningCredential(cert)相当于传入null参数，同时注释掉了开发者签名凭证，会导致无有效签名凭证的问题。正确逻辑如下：

if(cert == null)
{
    services.AddIdentityServer()
        .AddDeveloperSigningCredential() // 证书不存在时用开发者临时凭证
        .AddApiAuthorization<ApplicationUser, ApplicationDbContext>();
}
else
{
    services.AddIdentityServer()
        .AddSigningCredential(cert) // 证书存在时用正式证书签名
        .AddApiAuthorization<ApplicationUser, ApplicationDbContext>();
}

2. 检查证书私钥访问权限
   从LocalMachine证书存储读取的证书，需要确认运行站点的身份（IIS环境下是IIS_IUSRS组，自托管环境是对应运行用户）拥有该证书的私钥读取权限：
   打开本地计算机证书管理控制台（certlm.msc），找到对应localhost证书，右键选择「所有任务」→「管理私钥」，添加站点运行用户，授予「读取」权限即可。
3. 校验配置一致性
   检查appsettings.json中IdentityServer的Audience、Authority参数和实际站点地址完全一致；更换签名证书后，IDS4的公开密钥会更新，需清理浏览器缓存、重启站点，调用/.well-known/openid-configuration/jwks接口确认返回的公钥指纹和绑定证书一致。
4. 检查证书属性
   确认使用的localhost证书包含「数字签名」的密钥用法，证书未过期、信任链完整，没有被系统标记为不受信任。
5. 开启日志排查细节
   开启IdentityServer4的Debug级日志，可直接查看JWT验证失败的具体原因（签名无效/受众不匹配/令牌过期等），快速定位根因。

内容的提问来源于stack exchange，提问作者mtholen