TokenValidationParameters完全失效：OpenId Connect令牌验证异常排查

配置代码 #

builder.AddOpenIdConnect(flow.SchemeName, options => {
    options.MetadataAddress = metadataAddress;
    options.SignInScheme = GetSignInSchema(flow);
    options.AccessDeniedPath = "/401/";
    options.CallbackPath = new PathString(flow.CallbackPath);
    options.SignedOutCallbackPath = new PathString(flow.CallbackPath + "signout/");
    options.ClientId = flow.ClientId;
    options.ClientSecret = flow.ClientSecret;
    SetScope(options, flow);
    options.TokenValidationParameters = new TokenValidationParameters()
        {
            NameClaimType = ClaimConstants.Name,
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(clientSecretArray),
        };
// ...

问题描述 #

配置上述OpenID Connect代码后，无论尝试何种方式强制触发验证错误，令牌始终验证通过。例如将clientSecretArray设为任意值，验证仍能通过；修改其他验证参数也无效果，请问需要排查哪些点？

排查要点 #

• 检查关键验证开关是否启用：虽然设置了ValidateIssuerSigningKey = true，但可能遗漏了ValidateIssuer、ValidateAudience、ValidateLifetime等核心验证项的开启。如果这些参数被设为false，对应验证逻辑会直接跳过。
• 确认元数据地址是否覆盖本地配置：当配置MetadataAddress后，中间件会自动从身份提供者的元数据端点拉取签名密钥、颁发者等信息。如果元数据中的签名密钥优先级高于手动设置的IssuerSigningKey，修改clientSecretArray自然不会生效。可以临时移除MetadataAddress配置，仅用本地参数测试验证是否生效。
• 核实令牌类型与签名算法匹配性：如果验证的是Access Token，且身份提供者使用非对称密钥（如RS256）签名，而你用对称密钥（SymmetricSecurityKey）验证，会导致签名校验逻辑不生效。需确认令牌类型及身份提供者的签名算法。
• 检查TokenValidationParameters是否被后续代码覆盖：在当前配置代码之后，可能存在其他逻辑重新赋值options.TokenValidationParameters，导致你设置的参数被替换。可在配置完成后打印该参数的具体值，确认是否符合预期。
• 排查是否存在令牌缓存或调试跳过逻辑：项目中若有调试代码临时跳过令牌验证，或使用第三方库缓存已验证令牌，会导致新的验证参数不生效。需检查这类特殊逻辑。
• 确认clientSecretArray生成逻辑正确性：如果clientSecretArray是从flow.ClientSecret转换而来，但转换编码（如未用UTF-8）或方式错误，修改值后实际传递给SymmetricSecurityKey的内容可能未变化，导致验证不受影响。

内容的提问来源于stack exchange，提问作者NestorArturo