如何在ASP.NET 4.5 WebAPI后端验证OpenIdConnect的RS256 ID Token

JWKs拉取的选型实现 #

• 不需要手写裸HttpClient拉取JWKs的逻辑，直接使用适配.NET 4.5的Microsoft.IdentityModel系列官方组件即可。组件内置了JWKs拉取、本地缓存、自动刷新、密钥轮换适配的全流程能力，不需要重复实现重试、缓存、限流适配的逻辑。
• 核心依赖的NuGet包：
  • Microsoft.IdentityModel.Protocols.OpenIdConnect：负责拉取OIDC发现文档、解析JWKs端点地址
  • System.IdentityModel.Tokens.Jwt：负责JWT Token的解析、签名验证、生命周期校验
• 拉取器初始化代码示例：

// 传入身份提供商的OIDC发现文档根地址，组件会自动解析对应的jwks_uri
var configManager = new ConfigurationManager<OpenIdConnectConfiguration>(
    metadataAddress: "你的IDP的.well-known/openid-configuration地址",
    configRetriever: new OpenIdConnectConfigurationRetriever(),
    docRetriever: new HttpDocumentRetriever()
);

该组件默认会对拉取到的JWKs和配置做内存缓存，不会每个请求都发起HTTP调用拉取公钥，同时会在检测到密钥轮换、配置过期时自动触发更新。

全局自动验证的配置改造 #

你现有的手动单密钥验证逻辑，通过两点改造即可实现与动态JWKs的联动、全局请求自动生效：

1. 替换硬编码的单RSA密钥为动态JWKs公钥集合
   原来你手动解码Modulus/Exponent生成RSA密钥的逻辑，组件在拉取JWKs时会自动完成Base64Url解码、公钥生成的全流程，你只需要把拉取到的SigningKeys集合传入验证参数即可：

// 拉取最新的IDP配置（包含JWKs公钥集合）
var idpConfig = await configManager.GetConfigurationAsync();

var validationParams = new TokenValidationParameters
{
    RequireExpirationTime = true,
    RequireSignedTokens = true,
    // 生产环境建议开启受众与签发者校验，避免token被跨主体复用
    ValidateAudience = true,
    ValidAudience = "后端API在IDP中配置的受众标识",
    ValidateIssuer = true,
    ValidIssuer = idpConfig.Issuer,
    ValidateLifetime = true,
    // 动态传入全量JWKs公钥，替换原来的单硬编码RsaSecurityKey
    IssuerSigningKeys = idpConfig.SigningKeys
};

JWT处理组件会自动根据Token头部的`kid`字段，从公钥集合中匹配对应签名密钥完成校验，不需要手动判断公钥与Token的对应关系。

2. 将验证逻辑挂载到OWIN全局管道
   .NET 4.5 Web API通常基于OWIN管道运行，直接在Startup类的配置方法中注册全局Bearer认证中间件，即可实现所有请求的自动验证，不需要在每个接口中手写ValidateToken的逻辑：

public void Configuration(IAppBuilder app)
{
    app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions
    {
        TokenValidationParameters = validationParams,
        Provider = new OAuthBearerAuthenticationProvider
        {
            OnRequestToken = context =>
            {
                // 自动从Authorization头提取携带的ID Token
                var authHeader = context.Request.Headers.Get("Authorization");
                if (!string.IsNullOrEmpty(authHeader) && authHeader.StartsWith("Bearer "))
                {
                    context.Token = authHeader.Substring("Bearer ".Length).Trim();
                }
                return Task.FromResult<object>(null);
            }
        }
    });
}

落地注意事项 #

• 现有手动验证代码可保留用于本地调试，全局管道配置完成后，所有标注[Authorize]的接口会自动走全局验证逻辑，验证不通过的请求会直接返回401状态码，不需要额外写拦截逻辑。
• 组件内置的JWKs缓存默认会根据OIDC文档的缓存时长规则自动失效，密钥轮换场景下不需要手动重启服务或者清空缓存。
• 不建议长期保持ValidateAudience=false、ValidateIssuer=false的配置，缺少这两项校验会导致其他IDP签发的同签名逻辑的Token可以通过后端接口校验，存在安全风险。

内容的提问来源于stack exchange，提问作者Vartex05