使用JWT Bearer Handler时，不同别名访问站点致签发者验证失败

这个问题我之前也碰到过，核心原因是OpenIddict默认会根据当前请求的URL动态设置JWT的iss（签发者）字段，而你的JWT Bearer认证组件只信任固定的http://test/作为合法签发者，所以当用其他别名访问时，令牌里的iss和配置的Authority不匹配，自然就验证失败了。

下面给你两种可行的解决思路：

方案1：固定OpenIddict的签发者（推荐） #

直接在OpenIddict的服务配置里指定固定的签发者地址，让它不管当前请求用什么域名，都生成以http://test/为签发者的JWT。这样就能和JWT Bearer配置的Authority完全匹配，彻底解决域名别名带来的问题。

修改你的OpenIddict配置代码：

services.AddOpenIddict()
    .AddServer(options =>
    {
        // 保留你原有的其他配置（比如授权端点、令牌端点等）
        options.SetIssuer("http://test/"); // 固定签发者为你的Authority地址
        options.UseJsonWebTokens();
    })
    // 继续你的其他OpenIddict配置（比如AddClient、AddValidation等）

方案2：在JWT Bearer中添加多个合法签发者 #

如果你的业务场景确实需要支持多个域名作为签发者，可以在JWT Bearer的验证参数里添加所有合法的签发者地址。这种方式适合无法固定签发者的场景，但要注意维护所有可能的域名，避免遗漏。

修改你的JWT Bearer配置代码：

services.AddAuthentication()
    .AddJwtBearer(options =>
    {
        options.Authority = "http://test/";
        options.TokenValidationParameters = new TokenValidationParameters
        {
            // 添加所有允许的签发者地址
            ValidIssuers = new[] { "http://test/", "http://your-alias/", "https://another-valid-domain/" }
        };
        // 保留你原有的其他配置
    });

额外注意事项 #

• 如果你的服务使用HTTPS，务必保证签发者地址和Authority都使用HTTPS协议，保持一致，避免协议不匹配导致的验证问题。
• 方案1的安全性更高，因为固定签发者可以减少潜在的攻击面，避免因域名配置疏漏导致的令牌验证风险。

内容的提问来源于stack exchange，提问作者NtFreX