在IIS中导入RSA公钥失败，JWT Bearer认证遇异常求助

我之前在做跨应用JWT认证的时候踩过几乎一模一样的坑，结合你的场景，给你捋几个最容易出问题的点和对应的解决办法：

1. 公钥格式是否正确？ #

这是最常见的问题！一定要确保你导出的公钥是标准的PEM格式，也就是必须包含-----BEGIN PUBLIC KEY-----开头和-----END PUBLIC KEY-----结尾，中间是Base64编码的密钥内容，不能有多余的空格或换行。

如果你的公钥是XML格式（比如从RSACryptoServiceProvider.ExportParameters(false)导出的XML），那在OWIN的JWT配置里需要用RsaSecurityKey加载XML参数，而不是PEM导入方法。

2. IIS应用池的权限问题 #

IIS的应用池身份默认可能没有读取公钥文件的权限，尤其是如果公钥文件没有放在网站根目录下，或者应用池用的是Network Service、ApplicationPoolIdentity这类系统身份。

解决办法：

• 找到你的公钥文件，右键→属性→安全→编辑
• 点击添加，输入你的应用池身份（格式是IIS AppPool\你的应用池名称），点击检查名称确认
• 给这个身份赋予读取权限，保存即可

3. 密钥加载代码的细节 #

结合OWIN的JWT Bearer认证，给你一个经过验证的公钥加载和配置示例，适配不同.NET版本：

.NET Core/.NET 5+ 版本代码 #

using Microsoft.Owin.Security.Jwt;
using Owin;
using System.IdentityModel.Tokens.Jwt;
using System.Security.Cryptography;
using System.IO;

public void Configuration(IAppBuilder app)
{
    // 读取公钥文件
    var publicKeyContent = File.ReadAllText(@"C:\YourPath\public_key.pem");
    
    // 初始化RSA并导入PEM格式公钥
    using var rsa = RSA.Create();
    rsa.ImportFromPem(publicKeyContent.ToCharArray());

    var jwtAuthOptions = new JwtBearerAuthenticationOptions
    {
        TokenValidationParameters = new TokenValidationParameters
        {
            // 必须和第一个应用生成JWT时的Issuer一致
            ValidateIssuer = true,
            ValidIssuer = "YourFirstAppIssuer",
            
            // 必须和第一个应用设置的Audience一致
            ValidateAudience = true,
            ValidAudience = "YourSecondAppAudience",
            
            // 开启签名验证
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new RsaSecurityKey(rsa),
            
            // 验证令牌有效期
            ValidateLifetime = true,
            ClockSkew = TimeSpan.Zero // 关闭时钟偏移容错，严格验证有效期
        }
    };

    app.UseJwtBearerAuthentication(jwtAuthOptions);
}

.NET Framework 4.x 版本代码 #

旧框架没有ImportFromPem方法，需要手动转换PEM到RSAParameters：

private RSAParameters ConvertPemToRsaParams(string pemPublicKey)
{
    // 清理PEM格式的头尾和换行
    var cleanKey = pemPublicKey
        .Replace("-----BEGIN PUBLIC KEY-----", "")
        .Replace("-----END PUBLIC KEY-----", "")
        .Replace("\r", "")
        .Replace("\n", "");
    
    var keyBytes = Convert.FromBase64String(cleanKey);
    
    using var rsa = RSA.Create();
    rsa.ImportSubjectPublicKeyInfo(keyBytes, out _);
    return rsa.ExportParameters(false);
}

// 在OWIN配置中使用
var publicKeyContent = File.ReadAllText(@"C:\YourPath\public_key.pem");
var rsaParams = ConvertPemToRsaParams(publicKeyContent);
var rsaKey = new RsaSecurityKey(rsaParams);

var jwtAuthOptions = new JwtBearerAuthenticationOptions
{
    TokenValidationParameters = new TokenValidationParameters
    {
        // 配置同上...
        IssuerSigningKey = rsaKey
    }
};
app.UseJwtBearerAuthentication(jwtAuthOptions);

4. 验证JWT生成端的算法 #

一定要确认第一个应用生成JWT时使用的是非对称加密算法（RS256），而不是对称加密的HS256。如果用了HS256，哪怕你用公钥去验证也会失败，因为HS256是用同一个密钥加密和解密的。

生成JWT的代码里要确保指定算法为SecurityAlgorithms.RsaSha256：

var signingCredentials = new SigningCredentials(rsaPrivateKey, SecurityAlgorithms.RsaSha256);

如果以上几点都排查过还是有问题，建议解析一下你拿到的JWT令牌，看看alg字段是不是RS256，以及Issuer、Audience和你配置的是否一致。

内容的提问来源于stack exchange，提问作者Miroslav Jasso