.NET5 WebAPI解码Google登录idToken报JWS格式错误如何解决

• 传输过程篡改：WebAPI实际拿到的idToken和Flutter侧生成的idToken不一致，是最常见的诱因。控制台程序一般是直接传入正确的idToken测试，而WebAPI接收的idToken可能在请求过程中被转义、截断：
  • Flutter侧发送请求时误对idToken做了URL编码等转义处理
  • WebAPI的模型绑定/JSON序列化配置有字符串长度限制，自动截断了较长的Google idToken
  • 全局请求体长度限制配置触发了截断
• 依赖包版本差异：控制台项目和WebAPI项目引用的System.IdentityModel.Tokens.Jwt版本不一致，旧版本对Google返回的idToken格式兼容性存在问题
• 非标准解析逻辑：JwtSecurityToken的默认构造函数对部分边界格式的JWS兼容性不足，Google返回的idToken本身是符合JWS标准的，但默认解析逻辑可能误判格式

• 第一步：校验token一致性
  在WebAPI的PayloadInfo方法入口打印完整的idToken内容和长度，和Flutter控制台打印的idToken做对比，确认完全一致。如果不一致优先排查传输链路的转义、截断问题，移除不必要的转义逻辑，放宽JSON字符串/请求体的长度限制。
• 第二步：统一依赖版本
  将WebAPI项目的System.IdentityModel.Tokens.Jwt包升级到最新稳定版，和控制台项目的版本保持一致。
• 第三步：兼容解析逻辑（可选）
  如果确认token完整仍无法解析，可以替换为手动拆分解析的方式，绕过JwtSecurityToken构造函数的格式校验：

using System.Text;
using System.Text.Json;
using System.IdentityModel.Tokens.Jwt;

public JwtPayload PayloadInfo(string idToken)
{
    var tokenParts = idToken.Split('.');
    if (tokenParts.Length != 3)
    {
        throw new ArgumentException("无效的idToken格式");
    }
    // 处理Base64Url格式的填充
    string payloadPart = tokenParts[1]
        .Replace('-', '+')
        .Replace('_', '/');
    switch (payloadPart.Length % 4)
    {
        case 2: payloadPart += "=="; break;
        case 3: payloadPart += "="; break;
    }
    byte[] payloadBytes = Convert.FromBase64String(payloadPart);
    string payloadJson = Encoding.UTF8.GetString(payloadBytes);
    return JsonSerializer.Deserialize<JwtPayload>(payloadJson);
}

• 第四步：用官方校验方案（推荐）
  不要直接解析payload就信任token合法性，推荐使用Google官方的Auth库做完整的签名校验，既避免解析问题又能防范伪造token攻击：
  首先安装NuGet包Google.Apis.Auth，然后修改解析逻辑：

using Google.Apis.Auth;

public async Task<GoogleJsonWebSignature.Payload> PayloadInfo(string idToken)
{
    return await GoogleJsonWebSignature.ValidateAsync(idToken, new GoogleJsonWebSignature.ValidationSettings
    {
        // 替换为你自己的Google OAuth客户端ID，校验Audience防止跨应用token攻击
        Audience = new List<string> { "你的Google Cloud OAuth客户端ID" }
    });
}

内容的提问来源于stack exchange，提问作者Kelvin