.NET Core WS-Fed运行时修改Realm引发受众验证失败求助

你遇到的这个问题其实很典型：你只在跳转身份提供商（IDP）的时候修改了请求用的Realm（也就是Wtrealm参数），但应用在验证返回的token时，还是用的初始化配置里的固定受众值，两边不匹配自然就抛出了SecurityTokenInvalidAudienceException。

下面给你拆解问题和对应的解决步骤：

问题根源 #

当你在OnRedirectToIdentityProvider事件里修改Wtrealm时，这个值会被IDP用来生成token的aud（受众）字段。但你的应用在验证token时，默认还是会用启动时配置的ValidAudience或ValidAudiences来校验，token里的动态aud和固定的验证参数不匹配，就触发了错误。

正确的实现方式 #

要让动态Realm生效，需要同时做两件事：跳转时动态设置Wtrealm + 验证token时动态校验受众。

1. 保留动态设置Wtrealm的逻辑（你已经做对了这部分） #

你的现有代码没问题，不过可以优化下，把路径基准（PathBase）也加上，避免子路径部署时生成错误的Realm：

private Task OnRedirectToIdentityProvider(RedirectContext redirectContext) {
    // 生成当前请求对应的Realm，包含Scheme、Host和PathBase
    var currentRealm = $"{redirectContext.Request.Scheme}://{redirectContext.Request.Host}{redirectContext.Request.PathBase}/";
    redirectContext.Options.Wtrealm = currentRealm;
    return Task.CompletedTask;
}

2. 动态调整Token的受众验证逻辑 #

有两种常用的方式来实现动态受众验证，选哪种看你的偏好：

方式一：自定义AudienceValidator委托

在配置WS-Fed的时候，直接替换默认的受众验证逻辑，让它校验当前请求对应的Realm：

services.AddAuthentication(WsFederationDefaults.AuthenticationScheme)
    .AddWsFederation(options => {
        // 你的基础配置（元数据地址、默认Realm等）
        options.MetadataAddress = "你的IDP元数据地址";
        options.Wtrealm = "默认Realm（比如生产环境的主域名）";

        // 设置自定义受众验证器
        options.TokenValidationParameters.AudienceValidator = (audiences, securityToken, validationParameters) => {
            // 获取当前请求上下文
            var httpContext = validationParameters.HttpContext;
            if (httpContext == null) return false;

            // 生成当前请求对应的合法Realm
            var expectedAudience = $"{httpContext.Request.Scheme}://{httpContext.Request.Host}{httpContext.Request.PathBase}/";
            
            // 检查token中的受众是否包含当前预期的Realm
            return audiences.Contains(expectedAudience);
        };
    });

方式二：在OnTokenValidated事件中修改验证参数

如果更习惯用事件驱动的方式，可以在token验证前动态更新ValidAudience：

services.AddAuthentication(WsFederationDefaults.AuthenticationScheme)
    .AddWsFederation(options => {
        // 基础配置
        options.MetadataAddress = "你的IDP元数据地址";
        options.Wtrealm = "默认Realm";

        // 绑定事件
        options.Events = new WsFederationEvents {
            OnRedirectToIdentityProvider = OnRedirectToIdentityProvider, // 你的跳转事件
            OnTokenValidated = context => {
                // 生成当前请求对应的合法Realm
                var expectedAudience = $"{context.Request.Scheme}://{context.Request.Host}{context.Request.PathBase}/";
                
                // 更新验证参数的合法受众
                context.TokenValidationParameters.ValidAudience = expectedAudience;
                // 如果需要兼容多个历史Realm，可以添加到ValidAudiences列表
                // context.TokenValidationParameters.ValidAudiences = new List<string> { expectedAudience, "旧的Realm地址" };
                
                return Task.CompletedTask;
            }
        };
    });

额外注意事项 #

• IDP侧配置：有些IDP要求预先注册所有允许的受众（Realm），所以要先在IDP的管理后台把所有可能的客户端访问URL都添加为合法受众，否则IDP可能拒绝生成对应aud的token。
• HTTPS校验：确保你的应用部署在HTTPS环境时，Request.Scheme能正确返回https，避免生成http的Realm导致校验失败。
• 子路径处理：如果应用部署在子路径下（比如https://example.com/myapp），一定要带上PathBase，否则生成的Realm会缺失子路径部分。

内容的提问来源于stack exchange，提问作者sensei