基于Keycloak的.NET MVC(Razor)认证签名验证失败问题

看起来你碰到了一个典型的JWT签名算法不匹配问题——明明在Keycloak里设置了RS256，但实际签发的token却用了HS256，导致应用端验证签名时找不到对应的密钥。我来帮你梳理几个关键的排查和解决步骤：

1. 确认客户端的签名算法配置 #

首先登录Keycloak后台，找到你的eservice客户端：

• 进入Settings标签页，滚动到Access Token Signature Algorithm选项，确保它被明确设置为RS256（默认可能是HS256）。
• 修改这个设置后，建议重启Keycloak服务，或者重新生成客户端的密钥（如果之前的密钥是基于HS256生成的），避免缓存的旧配置生效。

2. 检查Realm级别的签名算法设置 #

客户端的配置会继承Realm的默认设置，所以也要确认Realm层面的配置：

• 进入master Realm的Realm Settings，切换到Keys标签页，查看Active Keys列表里的RS256密钥是否处于活跃状态（状态显示为Active）。
• 再切换到Tokens标签页，确认Default Signature Algorithm设置为RS256，确保Realm默认使用RSA签名。

3. 修正Startup.cs中的配置问题 #

你的代码里有几个需要调整的地方：

• 首先KeycloakUrl末尾多了一个多余的>，应该修正为正确的地址（比如https://your-keycloak-domain/auth），否则应用可能无法正确获取Keycloak的JWKS公钥端点。
• 另外，DisableIssuerValidation和DisableAudienceValidation在生产环境强烈不建议禁用，这会带来安全风险，建议只在调试阶段临时开启，调试完成后关闭。

调整后的示例配置：

public void ConfigureAuth(IAppBuilder app) { 
    const string persistentAuthType = "keycloak_cookies"; 
    app.UseCookieAuthentication(new CookieAuthenticationOptions { 
        AuthenticationType = persistentAuthType 
    }); 
    app.UseKeycloakAuthentication(new KeycloakAuthenticationOptions { 
        Realm = "master", 
        ClientId = "eservice", 
        ClientSecret = "<<client-Secret>>", 
        VirtualDirectory = "", 
        KeycloakUrl = "https://your-keycloak-domain/auth", // 修正URL格式
        SignInAsAuthenticationType = persistentAuthType, 
        AuthenticationType = persistentAuthType, 
        UseRemoteTokenValidation = true, 
        // 调试完成后建议移除以下两行，开启验证
        // DisableAudienceValidation = true, 
        // DisableIssuerValidation = true 
    }); 
}

4. 清除缓存与旧Cookie #

• Keycloak可能会缓存旧的密钥或配置，你可以在Realm Settings的Cache标签页点击Clear Cache，强制刷新配置。
• 同时清除浏览器中应用相关的Cookie，避免之前的旧token干扰新的登录流程。

5. 验证Token的实际算法 #

你可以用JWT解码工具解析出错的token，确认alg字段到底是HS256还是RS256。如果解析后还是HS256，说明Keycloak的配置没有真正生效，需要重新检查客户端和Realm的设置，确保修改保存成功。

内容的提问来源于stack exchange，提问作者physox