基于Skoruba模板将JWT迁移至Identity Server 4且无需用户重登的实现咨询

第一阶段：前置搭建双轨兼容鉴权层 #

迁移上线前首先在新部署的Skoruba IdentityServer4实例上，完整保留原有自定义JWE令牌的校验能力，不直接下线旧鉴权逻辑：

• 利用Skoruba模板支持管道扩展的特性，在JwtBearer标准认证管道最前面挂载自定义令牌识别中间件：
  • 中间件优先识别请求头中携带的旧格式JWE令牌，完全复用原有自定义加解密逻辑（包括原密钥、加密算法、令牌有效期校验规则）完成合法性校验
  • 校验通过后，直接解密提取令牌中携带的用户身份信息，映射生成符合IS4体系要求的ClaimsPrincipal身份上下文，不会触发跳转登录的逻辑
• 提前在Skoruba的用户表结构中新增扩展字段，存储旧系统中用户的全局唯一标识（如原用户ID、绑定手机号、注册邮箱），校验旧令牌提取到身份信息后，直接匹配Skoruba库中对应用户的身份记录，避免生成重复的用户数据

第二阶段：已登录用户的无感知令牌置换 #

兼容校验通过后，在请求管道内完成静默的标准令牌置换，完全避免用户感知：

• 当系统识别到请求携带的是旧格式JWE令牌、且校验合法时，后台直接调用IS4内置的令牌签发接口，为匹配到的用户签发整套标准IS4访问令牌、刷新令牌，同时将令牌写入用户的本地浏览器存储，覆盖原有的旧JWE令牌
• 整个置换过程全程在后端请求链路完成，前端不需要做路由跳转、不需要弹出任何交互窗口，用户无感知完成身份体系切换
• 增加触发判断逻辑：静默置换仅在用户首次携带旧令牌访问新体系时执行一次，后续请求全部走标准IS4令牌校验流程，避免重复签发带来的性能开销

第三阶段：兼容逻辑的渐进式下线 #

设置合理的过渡观察期，降低切换带来的影响：

• 上线初期开启双轨校验规则：携带旧JWE令牌、新IS4标准令牌的请求均可正常通过鉴权
• 持续统计旧令牌的请求占比，当连续7天旧令牌请求占比低于0.1%时，即可将自定义的旧JWE校验中间件从鉴权管道中移除，完全切换为IS4标准鉴权流程
• 对剩余极个别未完成静默置换的旧令牌请求做兜底处理：只有当旧令牌因为密钥轮换失效、无法完成解密校验时，才向用户展示一次登录提示，避免大范围强制重登

核心实现注意事项 #

• 声明映射保持完全对齐：旧自定义JWE中携带的用户角色、权限标识、租户信息等核心业务声明，在转换为IS4标准Claims时，要保持声明键、值的一致性，避免用户身份切换后出现权限丢失、功能不可用的问题
• 密钥策略平滑衔接：旧自定义JWE使用的加解密密钥，要在兼容层保留至少一个完整的旧令牌有效期周期，不要刚上线就作废旧密钥，导致未完成置换的用户被直接拦截
• 扩展逻辑和模板核心解耦：所有自定义的兼容、置换逻辑都放在独立的扩展类库中实现，不要直接修改Skoruba模板内置的IdentityServer配置、用户管理核心代码，避免后续模板版本升级时出现代码冲突

内容的提问来源于stack exchange，提问作者Milad Rashidi