回答“指定的令牌不能与此资源服务器一起使用”部署 ASP.NET 时，发生错误。

排查 ASP.NET 部署中的 SSO 令牌错误

使用单点登录 (SSO) 部署 ASP.NET 应用程序时，可能会出现与开发人员在本地开发环境中遇到的问题不同的问题。一个常见问题是遇到错误：“指定的令牌无法与此资源服务器一起使用”。当本地测试期间一切正常时，这可能会令人沮丧。

在这种情况下，问题通常与身份提供商 (IDP) 在实时环境和本地环境中处理令牌的方式之间的差异有关。例如，令牌受众值或发行者 URL 的差异可能会触发授权失败。在与受保护的资源交互时，这些问题通常会导致 401 未经授权的响应。

在本文中，我们将研究此类问题的常见原因，特别关注代币受众不匹配。我们还将探讨如何确保 ASP.NET 应用程序的令牌在本地和部署环境中得到正确验证。理解这种区别对于解决问题至关重要。

最后，我们将提供设置配置文件和测试 IDP 的最佳实践，以避免生产中出现令牌验证错误。通过遵循这些准则，您可以确保 ASP.NET 应用程序的顺利部署和可靠的身份验证。

命令	使用示例
AddJwtBearer	此命令用于在 ASP.NET 中配置 JWT Bearer 身份验证。它特定于在客户端-服务器通信中使用 JSON Web 令牌 (JWT) 处理基于令牌的身份验证。例如，在本例中，它配置受众和令牌验证参数以处理 IDP 颁发的令牌。
TokenValidationParameters	定义用于验证 JWT 令牌的特定参数，例如验证颁发者、受众、过期和签名。它有助于确保正在处理的令牌满足实时和本地环境所需的所有安全检查。
ValidateIssuer	TokenValidationParameters 中的此属性可确保正确验证颁发者（生成令牌的人）。当来自不同环境（本地与实时）的令牌的发行者 URL 可能略有不同时，这一点至关重要。
ValidIssuers	允许的发行者值的数组。这确保了本地或实时系统生成的令牌有效，从而解决了不匹配问题。包含“localhost”和实时 URL 对于跨环境验证至关重要。
GetLeftPart	该方法用于检索 URL 的一部分（直到特定段，例如方案或权限）。此处用于提取用于设置受众和发行者的基本 URL，确保令牌验证的一致性。
Assert.True	作为 xUnit 测试框架的一部分，该命令用于验证测试用例。它检查条件是否成立，例如确保代币受众或发行者与不同环境中的预期值相匹配。
GenerateToken	该方法用于生成用于测试的 JWT 令牌。在单元测试中，它有助于模拟来自实时和本地环境的令牌，从而允许在部署之前验证令牌验证逻辑。
AddAudiences	此方法用于添加有效受众以进行令牌验证。它确保只有在为有效受众（在本例中为实时或本地环境 URL）颁发令牌时才接受令牌。
AddRegistration	在 ASP.NET 应用程序中注册 OpenIddict 客户端的客户端凭据和配置。它链接 ClientId、ClientSecret 和 Issuer 等客户端详细信息，以正确配置身份验证流程。

了解 ASP.NET SSO 部署中的令牌验证

在上面的示例中，核心问题围绕本地和实时环境中生成的代币的受众价值不匹配。当身份提供商 (IDP) 无法正确处理不同域或子页面的令牌时，通常会出现这种情况。提供的脚本重点是通过调整受众和发行者设置来确保本地和实时环境一致地验证代币。命令 专门用于在 ASP.NET 中配置 JWT 承载身份验证，这对于在单点登录 (SSO) 上下文中处理令牌至关重要。此命令确保应用程序正确解释和验证 IDP 颁发的令牌。

第二个关键方面是使用 ，它指定了用于验证 JWT 令牌的各种规则和参数。它确保令牌的发行者、受众和过期时间在两种环境中都得到正确验证。该参数是高度可定制的，允许开发人员指定多个有效的发行者和受众，由于本地设置和实时设置之间的差异，在这种情况下这是必要的。这些脚本演示了实时系统 URL 和 localhost URL 都包含在 数组，确保来自任一环境的令牌都被接受。

除了这些方法之外， 用于简化和标准化令牌验证中使用的 URL。通过仅提取 URL 的必要部分（例如基本权限），此方法可确保处理发行者和受众的方式的一致性。当使用可能在 URL 结构中引入细微差异（例如缺少尾部斜杠）的环境时，此命令至关重要。该脚本还提供了动态调整受众的解决方案，确保令牌无论是在本地主机上还是在实时系统中生成都是有效的。

解决方案的最后一部分涉及使用以下内容创建单元测试 来自 xUnit 测试框架的命令。这些测试对于在部署应用程序之前验证受众和发行者设置是否正确配置至关重要。测试用例模拟来自本地和实时环境的令牌，使开发人员能够在开发周期的早期发现验证中的任何差异。通过使用这些测试，开发人员可以确保 ASP.NET 应用程序在多个环境中正常运行，而不会遇到意外的身份验证问题。

// Solution 1: Ensure Correct Audience Setting in appsettings.json
// Ensure that the audience values match exactly between local and live environments.
// appsettings.json for the live environment
{
  "IdentityProvider": {
    "IssuerUrl": "https://company.solutions/SSO_IDP",
    "ClientId": "adminclient",
    "ClientSecret": "your_secret_here"
  }
}
// Solution 2: Modify the Token Audience Validation in Startup.cs
// In the IDP configuration, add trailing slashes or handle both cases.
services.AddAuthentication()
    .AddJwtBearer(options =>
    {
        options.Audience = configuration["IdentityProvider:IssuerUrl"] + "/";
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateAudience = true,
            ValidAudiences = new[] { configuration["IdentityProvider:IssuerUrl"], configuration["IdentityProvider:IssuerUrl"] + "/" }
        };
    });

// Solution 3: Handle issuer differences between local and live environments in Startup.cs
services.AddAuthentication()
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuers = new[] { configuration["IdentityProvider:IssuerUrl"], configuration["IdentityProvider:IssuerUrl"] + "/" }
        };
    });
// Ensure tokens generated by both local and live environments have valid issuers.
// This prevents mismatches during authentication in different environments.

// Unit Test: Validate audience setting for tokens
public class TokenValidationTests
{
    [Fact]
    public void Test_Audience_Validation_LiveEnvironment()
    {
        var token = GenerateToken("https://company.solutions/SSO_IDP");
        Assert.True(ValidateToken(token, "https://company.solutions/SSO_IDP"));
    }
    [Fact]
    public void Test_Audience_Validation_LocalEnvironment()
    {
        var token = GenerateToken("https://localhost:7007/");
        Assert.True(ValidateToken(token, "https://localhost:7007/"));
    }
}

解决 ASP.NET 部署期间的令牌受众问题

解决 ASP.NET 部署中与令牌相关的问题的核心方面之一涉及了解 JWT 令牌中的 audience 值如何发挥作用。在单点登录 (SSO) 系统中，受众通常代表令牌的预期接收者。如果该值不正确或不匹配，则令牌将无效，从而导致授权错误。这些问题的一个常见根源是本地开发环境和实时部署环境之间的受众定义方式存在差异。

部署 SSO 系统时，一个关键挑战是身份提供商 (IDP) 可能会根据环境的基本 URL 颁发具有不同受众值的令牌。例如，本地环境中的受众可能类似于“https://localhost:7007/”，而实时环境则使用不同的 URL 结构，例如“https://company.solutions/SSO_IDP”。值中的这种不匹配是导致错误“指定的令牌不能与此资源服务器一起使用”的原因。要解决此问题，开发人员应确保在 IDP 和 appsettings.json 文件中正确配置 audience。

除了受众不匹配之外，令牌过期和发行者验证等其他因素也会影响令牌验证。在 ASP.NET Core 的中间件中正确配置这些设置可确保本地和实时环境中的令牌得到一致的处理。添加详细的单元测试还可以通过在错误到达生产之前捕获错误来帮助防止部署期间出现这些问题。跨环境测试可确保从本地开发到实时部署的顺利过渡。

1. 为什么令牌验证在实时环境中失败，但在本地却失败？
2. 发生这种情况是因为 令牌中的值与实时环境期望的值不匹配。确保两个环境都配置了正确的受众值。
3. JWT 令牌中的受众价值代表什么？
4. 这 是令牌的预期接收者。它告诉服务器该令牌对哪些资源有效。
5. 如何修复受众不匹配错误？
6. 您可以通过修改以下内容来修复受众不匹配错误 appsettings.json 文件中的值并确保一致性 配置。
7. 忽视受众验证有哪些风险？
8. 如果 如果未经验证，令牌可能会被用于对不同资源服务器进行未经授权的访问，从而导致安全漏洞。
9. 有没有办法处理来自多个环境的令牌？
10. 是的，您可以配置 包含本地和实时环境的多个 URL。

要解决“指定的令牌无法与此资源服务器一起使用”错误，必须确保 和 值在本地和实时环境中配置一致。受众必须符合资源服务器的期望。

通过在 appsettings.json 中配置这些值并添加单元测试以在部署之前检查令牌验证问题，开发人员可以防止错误并确保在实时环境中顺利运行。正确的验证是维护安全高效的应用程序的关键。