确认电子邮件中的 ASP.NET Core Identity 无效令牌

Question

这是一个与确认电子邮件中的 aspnet identity invalid token非常相似的问题，但解决方案无效，因为我使用的是包含 ASP.NET Core Identity 的新 ASP.NET Core 1.0。

我的情况如下：

1. 在后端（ASP.NET Core），我有一个功能可以发送带有链接的密码重置电子邮件。 为了生成该链接，我必须使用 Identity 生成代码。 像这样的东西。

    public async Task SendPasswordResetEmailAsync(string email) { //_userManager is an instance of UserManager<User> var userEntity = await _userManager.FindByNameAsync(email); var tokenGenerated = await _userManager.GeneratePasswordResetTokenAsync(userEntity); var link = Url.Action("MyAction", "MyController", new { email = email, code = tokenGenerated }, protocol: HttpContext.Request.Scheme); //this is my service that sends an email to the user containing the generated password reset link await _emailService.SendPasswordResetEmailAsync(userEntity , link); }

   这将生成一封电子邮件，其中包含以下链接：

   http://myapp:8080/passwordreset?code=CfDJ8JBnWaVj6h1PtqlmlJaH57r9TRA5j7Ij1BVyeBUpqX+5Cq1msu9zgkuI32Iz9x/5uE1B9fKFp4tZFFy6lBTseDFTHSJxwtGu+jHX5cajptUBiVqIChiwoTODh7ei4+MOkX7rdNVBMhG4jOZWqqtZ5J30gXr/JmltbYxqOp4JLs8V05BeKDbbVO/Fsq5+jebokKkR5HEJU+mQ5MLvNURsJKRBbI3qIllj1RByXt9mufGRE3wmQf2fgKBkAL6VsNgB8w==

2. 然后，我的 AngularJs 应用程序将显示一个视图，其中包含一个用于输入和确认新密码的表单，并将使用新密码和从 URL 中的查询参数获取的代码 PUT 一个 JSON 对象。

3. 最后，我的后端会收到 PUT 请求，抓取代码并使用 Identity 验证它，如下所示：

    [HttpPut] [AllowAnonymous] [Route("api/password/{email}")] public async Task<IActionResult> SendPasswordEmailResetRequestAsync(string email, [FromBody] PasswordReset passwordReset) { //some irrelevant validatoins here await _myIdentityWrapperService.ResetPasswordAsync(email, passwordReset.Password, passwordReset.Code); return Ok(); }

问题是 Identity 以

无效的令牌

错误。 我发现问题是代码不匹配，上面的代码将在 PUT 请求中的 JSON 对象中被接收，如下所示：

CfDJ8JBnWaVj6h1PtqlmlJaH57r9TRA5j7Ij1BVyeBUpqX 5Cq1msu9zgkuI32Iz9x/5uE1B9fKFp4tZFFy6lBTseDFTHSJxwtGu jHX5cajptUBiVqIChiwoTODh7ei4 MOkX7rdNVBMhG4jOZWqqtZ5J30gXr/JmltbYxqOp4JLs8V05BeKDbbVO/Fsq5 jebokKkR5HEJU mQ5MLvNURsJKRBbI3qIllj1RByXt9mufGRE3wmQf2fgKBkAL6VsNgB8w==

请注意，现在有+符号的地方有空格符号，显然这导致 Identity 认为令牌是不同的。 出于某种原因，Angular 正在以不同的编码方式解码 URL 查询参数。

如何解决这个问题？

Answer 1

这个答案https://stackoverflow.com/a/31297879/2948212 为我指明了正确的方向。 但正如我所说，它是针对不同版本的，现在它是略有不同的解决方案。

答案还是一样：用base 64 url​​编码token，然后用base 64 url​​解码。 这样 Angular 和 ASP.NET Core 将检索完全相同的代码。

我需要安装另一个对Microsoft.AspNetCore.WebUtilities;依赖Microsoft.AspNetCore.WebUtilities;

现在代码将是这样的：

public async Task SendPasswordResetEmailAsync(string email)
{
    //_userManager is an instance of UserManager<User>
    var userEntity = await _userManager.FindByNameAsync(email);
    var tokenGenerated = await _userManager.GeneratePasswordResetTokenAsync(userEntity);
    byte[] tokenGeneratedBytes = Encoding.UTF8.GetBytes(tokenGenerated);
    var codeEncoded = WebEncoders.Base64UrlEncode(tokenGeneratedBytes);
    var link = Url.Action("MyAction", "MyController", new { email = email, code = codeEncoded }, protocol: HttpContext.Request.Scheme);
     //this is my service that sends an email to the user containing the generated password reset link
     await _emailService.SendPasswordResetEmailAsync(userEntity , link);
}

以及在 PUT 请求期间接收回代码时

[HttpPut]
[AllowAnonymous]
[Route("api/password/{email}")]
public async Task<IActionResult> SendPasswordEmailResetRequestAsync(string email, [FromBody] PasswordReset passwordReset)
{
    //some irrelevant validatoins here
    await _myIdentityWrapperService.ResetPasswordAsync(email, passwordReset.Password, passwordReset.Code);
    return Ok();
}

//in MyIdentityWrapperService
public async Task ResetPasswordAsync(string email, string password, string code)
{
    var userEntity = await _userManager.FindByNameAsync(email);
    var codeDecodedBytes = WebEncoders.Base64UrlDecode(code);
    var codeDecoded = Encoding.UTF8.GetString(codeDecodedBytes);
    await _userManager.ResetPasswordAsync(userEntity, codeDecoded, password);
}

Answer 2

我有一个类似的问题，我正在对我的令牌进行编码，但它一直未能通过验证，结果问题是这样的： options.LowercaseQueryStrings = true; 不要在options.LowercaseQueryStrings上设置true这会改变验证令牌的完整性，您将收到无效令牌错误。

// This allows routes to be in lowercase
services.AddRouting(options =>
{
     options.LowercaseUrls = true;
      options.LowercaseQueryStrings = false;
});

Answer 3

我已经尝试了上面的答案，但本指南对我有所帮助。 基本上，您需要对代码进行编码，否则，您会遇到一些奇怪的错误。 总而言之，您需要这样做：

string code = HttpUtility.UrlEncode(UserManager.GenerateEmailConfirmationToken(userID));

在此之后，如果它适用于您，请解码代码：

string decoded = HttpUtility.UrlDecode(code)

Answer 4

在我的 Asp.Net Core 3.0 项目中搭建 ConfirmEmail 页面后，我遇到了同样的问题。

除去从以下行OnGetAsync在方法ConfirmEmail.cshtml.cs固定的问题：

code = Encoding.UTF8.GetString(WebEncoders.Base64UrlDecode(code));

在脚手架登录页面中， code被添加到callbackUrl ，然后使用HtmlEncoder.Default.Encode(callbackUrl)进行 URL 编码。 单击链接时，解码会自动完成， code就像确认电子邮件一样。

更新：

我注意到在忘记密码过程中， code在放入callbackUrl之前是 Base64 编码的，这意味着 Base64 解码是必要的。

因此，更好的解决方案是在将代码添加到 callbackUrl 之前将以下行添加到生成代码的任何位置。

code = WebEncoders.Base64UrlEncode(Encoding.UTF8.GetBytes(code));

这是已修复问题的链接。

Answer 5

我在 GCP 中使用 Cloud Run 托管我的网站时遇到了同样的问题，这里没有一个解决方案对我有用。

就我而言，问题出在本地存储在实例中的数据保护密钥。 日志中的以下条目暗示了问题：

将密钥存储在目录“/home/.aspnet/DataProtection-Keys”中，该目录可能不会保留在容器外部。 当容器被销毁时，受保护的数据将不可用。

因此，令牌仅对发出它们的实例有效，当用户单击发送到其电子邮件的链接时，该实例已被销毁。

解决方案是对密钥使用分布式存储，例如，通过 EntityFramework 使用数据库：

using Microsoft.AspNetCore.DataProtection;
...
public void ConfigureServices(IServiceCollection services)
{
    services.AddDataProtection()
        .PersistKeysToDbContext<DbContext>();

    services.AddIdentity<User, IdentityRole>()
                .AddEntityFrameworkStores<AnotherDbContext>()
                .AddDefaultTokenProviders();
}

可以在此处找到不同类型存储的详细信息。

Answer 6

（根据这篇文章： https : //stackoverflow.com/a/27943434/9869427 ）

对于 resetPasswordAsync（身份管理器）“令牌无效”问题...因为“+”成为 url 中的空格...使用Uri.EscapeUriString

示例：在我的 sendResetPasswordByMailAsync 中

var token = "Aa+Bb Cc";
var encodedToken = Uri.EscapeDataString(token); 

编码令牌 = "Aa%20Bb2B%Cc"

var url = $"http://localhost:4200/account/reset-password?email={email}&token={encodedToken}";
var mailContent= $"Please reset your password by <a href='{url}'>clicking here</a>.";

现在您可以单击您的链接，您将转到带有“+”（由 %2B 编码）的好网址...您的令牌不会无效...

Answer 7

ASP Core 2.1 也有类似的问题，这让我摸不着头脑，因为code ( token ) 的任何编码/解码对我都不起作用。 我总是有一个无效的令牌错误userManager.ConfirmEmailAsync(user, code)

---

解决方案：原来，这个问题是用户与未创建UserManager但使用的DbContext像_dbContext.Users.AddAsync与更换此创建方法后_userManager.CreateAsync一切正常，我即使不进行任何编码/解码code （ token ） .

Answer 8

在我的例子中，这个问题是由于 RegisterModel 中的 OnPostAsync 方法对回调 url 进行了编码：

var callbackUrl = Url.Page(
                    "/Account/ConfirmEmail",
                    pageHandler: null,
                    values: new { userId = user.Id, code = code },
                    protocol: Request.Scheme);

await _emailSender.SendEmailAsync(Input.Email, "Confirm your email",
                    $"Please confirm your account by <a href='{HtmlEncoder.Default.Encode(callbackUrl)}'>clicking here</a>.");

这种编码（HtmlEncoder.Default.Encode() 对callbackUrl 的应用），使得url '&' 变成了'&'，从而使整个链接无效。

Answer 9

您还可以在验证重置放置中的令牌时使用正则表达式。

var decode = token.Replace(" ", "+");

await _userManager.ResetPasswordAsync(user, decode, Password);