C#.Net用.pem文件生成带时间戳的client secret遇400错误求助

看起来你在调用FamilySearch的OAuth2 Token接口时碰到了invalid_grant的问题，结合你提供的代码和给定的签名规则，我梳理了几个核心问题点，以及对应的修复方案：

问题根源分析 #

1. 混淆了「签名」和「加密」操作 #

根据规则，你需要用服务账号的私钥对时间戳进行签名，但你的代码里用了OaepEncoding(new RsaEngine())做RSA加密——这是完全不同的操作。签名是为了证明数据由私钥持有者生成，而加密是为了保密，服务端需要的是签名后的结果，不是加密后的内容。

2. 私钥类型转换错误 #

你把KeyPair.Private强制转成了RsaKeyParameters，但实际上RsaPrivateCrtKeyParameters才是包含完整私钥信息的类型，直接转换会丢失关键参数（比如模数、指数以外的私钥组件），导致签名/加密失败。

3. HTTP请求方式不符合规范 #

你用GET请求把client_secret等敏感参数放在URL里，但OAuth2的Token端点几乎都要求用POST请求，且参数要放在请求体中（application/x-www-form-urlencoded格式）。URL传递参数不仅不安全，也很可能被服务端直接拒绝。

4. 时间戳的精度和时区要确保正确 #

虽然你的时间戳计算逻辑看似没问题，但要确保是UTC时间的毫秒数，如果不小心用了本地时间，会导致服务端认为时间戳无效。

修正后的代码实现 #

第一步：修复签名逻辑（改用RSA-SHA256签名） #

private string GetSecretKey()
{
    string privateKeyPath = @"C:\Users\vijay.birari.DGSL\Desktop\Temp\familysearchserviceaccount1.PEM";
    using (StreamReader sr = new StreamReader(privateKeyPath))
    {
        PemReader pr = new PemReader(sr);
        AsymmetricCipherKeyPair keyPair = (AsymmetricCipherKeyPair)pr.ReadObject();
        
        // 正确获取完整的RSA私钥参数
        RsaPrivateCrtKeyParameters privateKeyParams = (RsaPrivateCrtKeyParameters)keyPair.Private;
        RSACryptoServiceProvider rsa = new RSACryptoServiceProvider();
        rsa.ImportParameters(DotNetUtilities.ToRSAParameters(privateKeyParams));

        // 生成UTC时间戳（毫秒级）
        long timestamp = (long)(DateTime.UtcNow - new DateTime(1970, 1, 1, 0, 0, 0, DateTimeKind.Utc)).TotalMilliseconds;
        string timestampStr = timestamp.ToString();
        byte[] timestampBytes = Encoding.UTF8.GetBytes(timestampStr);

        // 使用RSA-SHA256签名（这才是符合要求的操作）
        byte[] signatureBytes = rsa.SignData(timestampBytes, CryptoConfig.MapNameToOID("SHA256"));
        
        // 先尝试直接返回Base64编码，有些服务端不需要URL编码；如果不行再启用URL编码
        string base64Signature = Convert.ToBase64String(signatureBytes);
        // string secret = HttpUtility.UrlEncode(base64Signature, Encoding.UTF8);
        return base64Signature;
    }
}

第二步：修复HTTP请求逻辑（改用POST传递参数） #

string responseContent = string.Empty;
try
{
    string tokenUrl = "https://ident.familysearch.org/cis-web/oauth2/v3/token";
    
    // 构造请求体参数，注意所有参数都要URL编码
    var postData = new List<KeyValuePair<string, string>>
    {
        new KeyValuePair<string, string>("grant_type", "client_credentials"),
        new KeyValuePair<string, string>("client_id", client_id),
        new KeyValuePair<string, string>("client_secret", GetSecretKey())
    };
    
    HttpWebRequest request = (HttpWebRequest)WebRequest.Create(tokenUrl);
    request.Method = "POST";
    request.ContentType = "application/x-www-form-urlencoded"; // 必须设置正确的Content-Type

    // 将参数写入请求体
    using (StreamWriter writer = new StreamWriter(request.GetRequestStream()))
    {
        writer.Write(string.Join("&", postData.Select(kvp => 
            $"{HttpUtility.UrlEncode(kvp.Key)}={HttpUtility.UrlEncode(kvp.Value)}")));
    }

    using (HttpWebResponse response = (HttpWebResponse)request.GetResponse())
    using (StreamReader sr = new StreamReader(response.GetResponseStream()))
    {
        responseContent = sr.ReadToEnd();
    }

    if (!string.IsNullOrEmpty(responseContent))
    {
        dynamic jsonResponse = JsonConvert.DeserializeObject(responseContent);
        responseContent = jsonResponse.access_token;
    }
    return responseContent;
}
catch (WebException wex)
{
    if (wex.Response != null)
    {
        using (var errorResponse = (HttpWebResponse)wex.Response)
        using (var reader = new StreamReader(errorResponse.GetResponseStream()))
        {
            responseContent = reader.ReadToEnd();
        }
    }
    return responseContent;
}

额外需要验证的点 #

• 确认公私钥配对：用OpenSSL工具从你的PEM文件提取公钥，和服务端保存的公钥对比，确保是同一对：

  openssl rsa -in familysearchserviceaccount1.PEM -pubout -out public_key.pem
  

• 检查时间戳有效性：打印生成的时间戳，和服务端的UTC时间对比，确保时间差在服务允许的范围内（通常是5分钟以内）。
• 确认client_id正确性：错误的client_id也会触发invalid_grant，先确认你的client_id和服务端配置一致。

内容的提问来源于stack exchange，提问作者Vijay Birari