.NET Framework与.NET Core数据保护共享密钥时无效负载异常排查

这个问题的核心原因很明确：你在.NET Framework端使用了MachineKey.Protect()，但这个API属于传统ASP.NET的MachineKey体系，和你配置的ASP.NET Core DataProtection系统完全不兼容——哪怕你已经设置了密钥共享，MachineKey也不会使用你配置的DataProtection密钥存储和管理逻辑，自然会出现无效负载的解密异常。

下面是具体的修复步骤：

1. 改用DataProtection API替代MachineKey #

首先，确保你的.NET Framework项目已经安装了必要的NuGet包：

Install-Package Microsoft.AspNetCore.DataProtection.Extensions

然后，替换掉MachineKey.Protect()的调用逻辑，改用DataProtection的原生API来加密：

// 从服务容器获取配置好的IDataProtectionProvider
var serviceProvider = services.BuildServiceProvider();
var dataProtectionProvider = serviceProvider.GetRequiredService<IDataProtectionProvider>();

// 创建与.NET Core端一致目的的protector（这里的"testprotector"要和Core端完全匹配）
var protector = dataProtectionProvider.CreateProtector("testprotector");

// 执行加密操作
var helloProtected = protector.Protect("hello");

2. 验证关键配置一致性 #

确保以下配置在.NET Core和.NET Framework两端完全一致：

• SetApplicationName("company")：应用名称必须完全相同，这是DataProtection区分不同应用密钥隔离的关键标识
• 密钥存储目录：c:\\keys需要在两个项目的运行环境中都能访问，并且具备读写权限
• 密钥保护方式：如果你是跨机器部署（比如Core和Framework项目在不同服务器），ProtectKeysWithDpapi()就不适用了——DPAPI是基于本地机器/用户的加密机制，跨机器无法解密。这种情况下建议改用证书保护密钥：

  // 替换ProtectKeysWithDpapi()为证书保护
  .ProtectKeysWithCertificate("证书指纹或主题名称");
  

3. 确认解密端的匹配逻辑 #

在.NET Core端解密时，也要使用相同的CreateProtector("testprotector")来创建protector，再调用Unprotect()方法，确保目的字符串完全一致。

这样调整后，两端就会使用同一套DataProtection密钥体系，自然就能正常共享加密 payload 了。

内容的提问来源于stack exchange，提问作者Nemq