OpenIdDict 2.0多授权服务器跨站点解码access token配置问题

结论 #

完全可以通过共享签名证书/密钥的方式实现多授权服务器之间的token互通验证，不需要升级.NET Core或OpenIDDict版本，适配你当前的技术栈限制。

问题根因 #

你遇到的跨站点强制登出、同站点负载均衡随机登出问题，核心原因是每个授权服务器实例默认使用独立生成的临时签名密钥对，签发的JWT格式access token只能由生成它的实例自身验证，其他实例没有对应的公钥/密钥，无法通过签名校验，就会判定token无效触发登出。

具体配置方案 #

所有授权服务器、资源服务器实例统一使用同一套签名密钥/证书即可，OpenIDDict 2.0原生支持自定义签名密钥，配置步骤如下：

1. 准备统一的签名凭证

优先选择生产级的X.509 PFX格式非对称证书（可由内部CA签发，不需要公网信任），测试环境可临时使用256位及以上长度的对称密钥快速验证。

2. 授权服务器统一配置

所有站点的授权服务器都添加相同的签名、验证凭证，示例代码如下：

使用PFX证书（生产环境推荐）

services.AddOpenIddict()
    .AddServer(options =>
    {
        // 保留你之前的所有原有配置
        // 加载共享PFX证书，路径和密码建议放到配置中心/密钥服务，不要硬编码
        var cert = new X509Certificate2("path/to/your/shared-signing-cert.pfx", "your-cert-password");
        options.AddSigningCertificate(cert);
        options.AddValidationCertificate(cert);
    })
    .AddValidation(options =>
    {
        // 保留原有验证配置
        var cert = new X509Certificate2("path/to/your/shared-signing-cert.pfx", "your-cert-password");
        options.AddValidationCertificate(cert);
    });

使用对称密钥（测试环境用）

services.AddOpenIddict()
    .AddServer(options =>
    {
        // 保留原有配置
        // 密钥长度至少32位，所有实例完全一致
        var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-32-byte-or-longer-shared-secret-key"));
        options.AddSigningKey(securityKey);
        options.AddValidationKey(securityKey);
    })
    .AddValidation(options =>
    {
        // 保留原有配置
        var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-32-byte-or-longer-shared-secret-key"));
        options.AddValidationKey(securityKey);
    });

3. 资源服务器同步配置

所有站点的资源服务器验证配置也要同步使用相同的共享证书/密钥，确保资源层也能正常验证所有授权服务器签发的token。

注意事项 #

• 必须关闭OpenIDDict默认的自动生成临时密钥的配置，避免实例重启或扩容时生成新密钥导致验证失败。
• 配置上线后原有未过期的旧token会因为签名不匹配失效，建议选择业务低峰期上线，或提前通知用户需要重新登录一次，之后跨站点移动、负载均衡分发请求都不会再触发强制登出。
• 生产环境做好证书/密钥的权限管控，定期轮换，避免泄露。

内容的提问来源于stack exchange，提问作者Actias