使用Azure B2C生成元数据端点时id_token_hint签名验证失败如何解决？

• 先核对本地代码所用证书与上传到B2C策略密钥的证书是否为同一个：将本地证书导出公钥（CER格式），再从B2C的策略密钥页面下载IdTokenHintCert的公钥，对比两者的指纹、有效期、公钥哈希完全一致，避免混用新旧证书。
• 重新导出PFX证书测试：你导出时勾选的「启用证书隐私保护」会导致B2C无法正确解析PFX文件，重新导出时不要勾选该选项，生成新的PFX后重新上传到B2C。
• 确认证书算法合规：检查证书使用的是RSA 256位算法，B2C默认仅支持RS256签名的id_token_hint，如果生成证书时使用了ECDSA等其他算法会直接验证失败。
• 核对B2C上传证书的配置：上传PFX到B2C策略密钥时，「用途」选项必须选签名，不要选加密或其他选项。

• 确认配置位置正确：你修改的JwtIssuer是B2C签发Token的配置，魔法链接场景下验证id_token_hint用的是IdTokenHint_ExtractClaims技术配置文件，需要确认该技术配置的CryptographicKeys节点下的IdTokenHintSigningKey存储引用ID为B2C_1A_IdTokenHintCert，不要错位配置。
• 确认策略密钥引用正确：B2C会自动给上传的策略密钥加B2C_1A_前缀，注意不要写错大小写、漏写前缀。
• 策略生效校验：修改完所有策略后，要按照基础策略→拓展策略→依赖方策略的顺序全部重新上传，上传完成后等待5分钟再测试，B2C策略生效存在延迟。

• 先校验生成的Token内容：把你生成的id_token_hint复制到jwt.ms解码，核对以下字段：
  • issuer字段：必须和策略中IdTokenHint_ExtractClaims配置的Issuer值完全一致，多一个斜杠、少一个端口号都会验证失败。
  • audience字段：必须和策略中配置的ValidAudience值完全一致，检查你代码中填写的audience参数是否为对应正确值，不要填错租户ID、客户端ID。
  • 时间字段：确认你本地机器的时间和UTC时间差不超过5分钟，B2C对Token的时间偏移容忍度极低，时间差过大也会触发验证失败。
• 显式指定签名算法：部分场景下X509SigningCredentials默认算法不是RS256，你可以显式指定，修改代码中对应部分为return new X509SigningCredentials(certCollection[0], SecurityAlgorithms.RsaSha256);
• 对id_token_hint做URL编码：你当前代码是直接拼接Token到URL中，Token里的+、/、=等特殊字符会被转义，导致签名验证失败，修改拼接逻辑为+ "&id_token_hint=" + Uri.EscapeDataString(token);

• 本地测试用localhost作为issuer时，要确保策略里配置的Issuer值和你本地运行地址的端口、路径完全匹配。
• 不要使用过期、或者还未到生效时间的证书。

内容的提问来源于stack exchange，提问作者nejohannsen