如何覆盖或扩展Identity Server 4的token验证逻辑并自定义验证日志

完全可以实现仅针对token验证环节输出更详细日志，无需调高全局日志级别，有两种实现方式：

方案1：原生日志过滤配置（无需修改代码） #

ASP.NET Core 原生支持针对指定命名空间单独设置日志级别，你可以仅将IdentityServer4中token验证相关组件的日志级别调整为Debug，其他组件保持原有级别即可：

// appsettings.json 配置示例
{
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft.AspNetCore": "Information",
      // 仅调高token验证相关组件的日志级别
      "IdentityServer4.Validation.TokenValidator": "Debug",
      "IdentityServer4.Stores.RefreshTokenStore": "Debug"
    }
  }
}

配置后即可输出验证过程的详细日志，包括token是否存在、是否过期、客户端是否匹配、签名是否合法等信息，足以定位大部分验证失败的原因。

方案2：自定义扩展refresh token验证逻辑 #

如果原生日志还不能满足你的定制化日志需求，可以替换IdentityServer4默认的refresh token验证服务，自定义添加日志逻辑：

第一步：实现自定义验证器 #

继承默认实现DefaultRefreshTokenValidator，重写验证方法添加自定义日志：

using IdentityServer4.Models;
using IdentityServer4.Validation;
using IdentityServer4.Stores;
using Microsoft.Extensions.Logging;
using System.Security.Cryptography;
using System.Text;

public class CustomRefreshTokenValidator : DefaultRefreshTokenValidator
{
    private readonly ILogger<CustomRefreshTokenValidator> _customLogger;

    public CustomRefreshTokenValidator(
        IRefreshTokenStore refreshTokenStore,
        ISystemClock clock,
        ILogger<DefaultRefreshTokenValidator> baseLogger,
        ILogger<CustomRefreshTokenValidator> customLogger)
        : base(refreshTokenStore, clock, baseLogger)
    {
        _customLogger = customLogger;
    }

    public override async Task<TokenValidationResult> ValidateAsync(string refreshTokenHandle, Client client)
    {
        // 前置日志：脱敏记录请求参数，避免明文存储refresh token
        var tokenHash = SHA256.HashData(Encoding.UTF8.GetBytes(refreshTokenHandle));
        _customLogger.LogDebug("收到refresh token验证请求，客户端ID：{ClientId}，token哈希：{TokenHash}",
            client.ClientId,
            Convert.ToHexString(tokenHash));

        var result = await base.ValidateAsync(refreshTokenHandle, client);

        // 验证失败时输出额外排查信息
        if (!result.IsSuccess)
        {
            _customLogger.LogError("refresh token验证失败，错误：{Error}，错误描述：{ErrorDesc}，客户端ID：{ClientId}，用户ID：{SubId}",
                result.Error,
                result.ErrorDescription,
                client.ClientId,
                result.Subject?.FindFirst("sub")?.Value);
        }

        return result;
    }
}

第二步：注册自定义验证器 #

在IdentityServer4服务注册时替换默认的验证器即可：

// Program.cs 示例
var builder = WebApplication.CreateBuilder(args);

builder.Services.AddIdentityServer()
    // 保留你原有配置（AddInMemoryClients、AddAspNetIdentity等）
    .AddRefreshTokenValidator<CustomRefreshTokenValidator>();

常见验证失败原因参考 #

你遇到的偶发自动登出问题大概率是以下原因导致的：

• 客户端配置RefreshTokenUsage = OneTimeOnly（一次性刷新token）时，客户端并发请求重复使用了同一个已失效的refresh token
• 刷新token已超过配置的有效期（绝对有效期AbsoluteRefreshTokenLifetime或滑动有效期SlidingRefreshTokenLifetime）
• 多实例部署时未共享数据保护密钥，不同实例签发的token无法跨实例验证
• 用户权限变更、用户主动登出导致refresh token被提前撤销

内容的提问来源于stack exchange，提问作者Malosh