ASP.NET Identity网站与Web API重置密码令牌无效问题咨询

我来帮你分析下这个困扰你的「无效令牌」问题，结合你给出的代码和背景信息，大概率是这几个细节没处理好：

1. 令牌参数的URL编码踩坑 #

看你的Web API代码，生成回调链接时是直接硬拼字符串：

var callbackUrl = $"/Account/ResetPassword?userId={user.Id}&code={code}";

GeneratePasswordResetTokenAsync生成的令牌里经常会有+、/这类URL敏感字符，直接拼接的话，这些字符在浏览器解析或者传输过程中很容易被错误处理（比如+会被当成空格）。而网站那边用的Url.Action会自动帮你对参数做URL编码，自然就没这个问题。

修复方法：
在Web API里把code先做URL编码再拼接：

var encodedCode = HttpUtility.UrlEncode(code);
var callbackUrl = $"/Account/ResetPassword?userId={user.Id}&code={encodedCode}";

或者用Uri.EscapeDataString来编码，效果是一样的，确保特殊字符不会被篡改。

2. DataProtectionProvider的配置不一致 #

虽然你说两者的UserTokenProvider用的是同一个DataProtectorTokenProvider，但得确认网站和Web API的dataProtectionProvider是不是真的共用同一套配置。毕竟网站是后期才加的Identity，很可能在配置DataProtection的时候，和Web API的设置不一样——ASP.NET的Data Protection会根据应用标识、密钥存储位置这些生成不同的保护密钥，哪怕在同一服务器，配置不一样的话，生成的令牌就没法互相解密。

修复方法：
在网站和Web API的Startup类里，统一DataProtection的配置：

services.AddDataProtection()
    .SetApplicationName("YourAppUniqueName") // 两者必须用同一个应用名称
    .PersistKeysToFileSystem(new DirectoryInfo(@"C:\YourSharedKeyFolder")); // 可选，指定统一的密钥存储目录

这样两者会用相同的密钥来加密和解密令牌，自然就能识别彼此生成的令牌了。

3. 邮件链接的HTML转义问题 #

你Web API里的callbackUrl用了&（HTML实体），如果你的邮件模板是HTML格式，这没问题，但如果是纯文本邮件，&不会被解析成&，会导致链接里的参数出错（比如code参数被截断）。

修复方法：
检查下ResetPassword.html模板的格式，如果是纯文本邮件，直接把&换成&就行：

var callbackUrl = $"/Account/ResetPassword?userId={user.Id}&code={encodedCode}";

快速验证步骤 #

1. 在Web API生成code后，立刻打个日志记录下code的原始值。
2. 打开收到的重置邮件，复制链接里的code参数，和日志里的原始值对比，看是不是一样。
3. 如果不一样，那肯定是编码或者转义环节出问题了；如果一样，就去检查DataProtection的配置是否统一。

内容的提问来源于stack exchange，提问作者jbassking10