ASP.NET Core验证Google ID Token返回400 Bad Request如何解决

常见错误原因 #

• 参数长度超限：你当前用[HttpGet]接口接收Token，Google ID Token长度通常超过1000字符，部分浏览器、web服务器对GET请求的Query参数长度有限制，超出后会直接返回400错误。
• Token传输异常：GET请求的Query参数不会自动处理特殊字符，Token中的+、/、=等符号如果没有做URL编码，会被服务端错误解析，最终传到你方法里的providerToken是截断、变形的无效值，调用Google接口自然返回400。
• 中间件拦截校验：你注册了JWT Bearer校验服务，如果GetUserDetails接口加了[Authorize]特性，请求会先经过JWT中间件校验。如果你前端没有按照Bearer规范把Token放到Authorization请求头，或者Token格式不符合中间件要求，会直接返回400/401错误，根本不会进到你的接口方法里。
• 同步调用异常：你用.Result同步等待异步请求，高概率触发ASP.NET Core的线程死锁，虽然这种情况更多返回500错误，但也可能导致请求发送异常触发400。

修复方案 #

1. 替换接口请求方式 #

优先用POST接口接收Token，避免长度和转义问题，同时改用异步await代替同步Result：

// 新增请求接收类
public class TokenRequest
{
    public string ProviderToken { get; set; }
}

// 修改接口
[HttpPost("[action]")]
[AllowAnonymous] // 跳过全局JWT校验，避免中间件拦截
public async Task<User> GetUserDetails([FromBody] TokenRequest request)
{
    private const string GoogleApiTokenInfoUrl = "https://www.googleapis.com/oauth2/v3/tokeninfo";
    var httpClient = new HttpClient();
    HttpResponseMessage httpResponseMessage;
    try
    {
        // POST请求把Token放在表单体里，无长度限制，也不需要处理转义
        var formData = new FormUrlEncodedContent(new[]
        {
            new KeyValuePair<string, string>("id_token", request.ProviderToken)
        });
        httpResponseMessage = await httpClient.PostAsync(GoogleApiTokenInfoUrl, formData);
    }
    catch (Exception ex)
    {
        Console.WriteLine("error: " + ex);
        return null;
    }

    if (httpResponseMessage.StatusCode != HttpStatusCode.OK)
    {
        // 这里可以打印返回内容看Google的具体错误提示，比如是否Token过期、无效
        var errorMsg = await httpResponseMessage.Content.ReadAsStringAsync();
        Console.WriteLine("Google接口返回错误：" + errorMsg);
        return null;
    }

    // 后续原有逻辑不变
}

2. 优先使用本地校验（推荐） #

不用调用Google远程接口校验，直接用Google官方的NuGet包Google.Apis.Auth做本地校验，性能更高、更稳定，也不会出现网络请求导致的400问题：
首先安装NuGet包：

Install-Package Google.Apis.Auth

替换校验逻辑：

try
{
    var payload = await GoogleJsonWebSignature.ValidateAsync(request.ProviderToken, new GoogleJsonWebSignature.ValidationSettings
    {
        Audience = new[] { googleAuthNSection["ClientId"] }
    });
    // 直接从payload获取用户信息，不需要再反序列化远程返回结果
    return new User
    {
        Email = payload.Email,
        FirstName = payload.GivenName,
        LastName = payload.FamilyName,
        Locale = payload.Locale,
        Name = payload.Name,
        UserId = payload.Subject
    };
}
catch (InvalidJwtException ex)
{
    Console.WriteLine("Token校验失败：" + ex.Message);
    return null;
}

3. 其他优化 #

• 不要每次请求都new HttpClient，通过ASP.NET Core内置的IHttpClientFactory注入HttpClient实例，避免套接字耗尽问题。
• 测试阶段先打印后端接收到的providerToken和前端传入的原始Token做对比，确认没有传输截断、转义错误。

内容的提问来源于stack exchange，提问作者congying pan