Web API跨服务令牌认证疑问：Service1颁发的access_token可被Service2接受

这其实是由你实现令牌认证的核心机制决定的，我来给你拆解下关键原因：

• 共享的签名验证配置
  如果你用的是JWT这类自包含令牌，服务端验证token的核心是签名密钥和验证规则。既然两个服务用了完全相同的认证代码，大概率是配置了同一个签名密钥、签发者（Issuer）和受众（Audience）。服务2验证token时，会用自己的密钥去校验签名是否合法，只要签名匹配，且token里的声明（比如有效期、签发者）符合配置要求，就会认可这个token的有效性——完全不关心它是哪个服务签发的。

• ASP.NET传统OAuth的机器密钥共享
  要是你用的是传统ASP.NET Web API的OAuth令牌（非JWT），这类令牌是靠服务器的Machine Key加密的。如果两个服务在同一台机器上部署，默认会共用系统的Machine Key；就算是不同部署，但你手动在两个服务的web.config里配置了相同的Machine Key，服务2就能解密服务1签发的token，自然会接受这个身份。

• 完全一致的认证中间件逻辑
  你说两个服务用了相同的认证代码，意味着它们的认证中间件（比如JWT认证中间件、OAuth授权中间件）的所有参数、验证逻辑都是一模一样的，没有任何区分服务的配置项。这种情况下，服务2根本没办法识别token是来自自己还是服务1，只要验证通过就会允许访问。

如果想让两个服务的Token互不通用，你可以这么做： #

• 给每个服务配置唯一的签名密钥，确保只有签发token的服务能验证自己的token
• 为每个服务设置不同的Issuer（签发者）参数，验证时强制校验token的签发者是否匹配当前服务
• 配置专属的Audience（受众），让token只能被指定的目标服务接受

内容的提问来源于stack exchange，提问作者Neeraj Kumar Gupta