How to fix 'antiforgery token could not be decrypted' error after IIS session has expired?

近日，不少开发者和运维人员在处理ASP.NET应用程序时遇到一个典型问题：当IIS（Internet Information Services，互联网信息服务）中用户会话过期后，系统抛出“Antiforgery token could not be decrypted”（防伪造令牌无法解密）的错误。该错误直接导致用户操作中断，严重影响Web应用的可用性和用户体验。本文将对这一问题进行深度剖析，并提供切实可行的修复方案。

问题现象与影响

当用户在登录状态下长时间未操作，IIS会话（Session）自动过期，之后尝试提交表单或发起POST请求时，页面往往弹出如下错误信息：“The antiforgery token could not be decrypted. If this application is hosted by a web farm or cluster, ensure that all machines are running the same version of ASP.NET Core and that the same configuration settings specify the same validation key and decryption key.”。该错误使得正常的业务流转中断，用户不得不重新登录或者刷新页面，部分敏感操作甚至可能被拒绝。

该问题在部署于单台服务器或负载均衡环境中的ASP.NET Core应用程序中均有发生。尤其在用户会话与防伪令牌（Anti-Forgery Token）生命周期不匹配时，令牌失效引发解密失败。

根本原因分析

防伪造令牌是ASP.NET Core内置的跨站请求伪造（CSRF）防护机制的核心组件。系统在用户请求页面时生成一个加密的令牌，并绑定到会话或Cookie中。当用户提交表单时，服务器需要对令牌进行解密并与存储的令牌对比，以验证请求的合法性。

问题关键在于：令牌的加密依赖于与用户会话相关的密钥（Validation Key和Decryption Key）。在默认配置下，ASP.NET Core使用自动生成的、与应用启动生命周期绑定的密钥。当IIS工作进程回收或应用域重启时，这些密钥会更新。或者，当IIS会话过期（比如Session超时），系统会清除与该会话相关的令牌数据，但客户端浏览器中可能仍然保留着旧的令牌。服务器端无法用新的密钥解密旧的令牌数据，于是抛出“无法解密”的异常。

此外，以下场景也会加剧该问题： - 多服务器负载均衡（Web Farm）：各服务器生成的密钥不一致； - 应用重启或IIS回收导致加密密钥变化； - 用户端Cookie未正确更新或过期策略配置不当。

解决方案详解

针对上述原因，业界总结出如下几种经过验证的修复方法：

1. 统一并持久化数据保护密钥

最根本的解决方式是让防伪令牌的加解密密钥不再随应用重启或会话变化，而是采用持久化的密钥存储方案。在ASP.NET Core中，可通过配置数据保护（Data Protection）系统实现：

services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"\\server\shared\keys"))
    .SetApplicationName("YourAppName")
    .SetDefaultKeyLifetime(TimeSpan.FromDays(90));

将密钥保存到共享文件系统、数据库或Redis中，确保所有服务器实例使用相同的密钥。需要特别注意的是：SetApplicationName必须与生成令牌的应用名称一致，否则解密依然失败。

2. 调整会话与令牌的过期策略

避免令牌过期早于会话过期。可在Startup.cs中明确配置防伪令牌的选项：

services.AddAntiforgery(options => 
{
    options.Cookie.Expiration = TimeSpan.FromMinutes(30); // 与Session超时一致或更长
});

同时确认Session的过期时间合理，例如在ConfigureServices中设置：

services.AddSession(options =>
{
    options.IdleTimeout = TimeSpan.FromMinutes(20);
    options.Cookie.HttpOnly = true;
    options.Cookie.IsEssential = true;
});

3. 处理负载均衡环境

如果应用运行于Web Farm，必须确保所有服务器拥有相同的数据保护密钥环。推荐的做法是使用Azure Key Vault、Redis或数据库共享密钥。此外，在负载均衡器上开启“粘性会话”（Sticky Session）或“源IP哈希”也可临时缓解，但不推荐长期依赖。

4. 优雅处理令牌过期

在前端实现令牌刷新或错误捕获逻辑，当用户提交请求遇到“Antiforgery token could not be decrypted”时，可自动重新获取页面并重试（如使用AJAX异步获取新令牌）。但这仅为后端方案提供的补充，不能完全替代稳定后端配置。

最佳实践与建议

在开发环境：单服务器可以临时使用SetApplicationName固定密钥，但生产环境必须迁移到持久化存储。
定期更新密钥：建议设置密钥有效期为90天，并提前生成新密钥，避免应用大面积失效。
启用日志记录：捕获解密失败异常并记录详细信息，便于定位故障。
测试覆盖：在进行会话超时、IIS回收、服务器扩容等场景测试时，加入防伪令牌功能验证。

结语

“Antiforgery token could not be decrypted”错误虽然令人困扰，但其本质是ASP.NET Core安全机制与运行环境之间不同步导致的密钥失效问题。通过统一密钥持久化、调整过期策略、适配负载均衡环境，可以彻底解决这一顽疾。希望本文能为广大开发者和运维人员提供清晰的排障思路，确保Web应用稳固运行。

How to fix &#39;antiforgery token could not be decrypted&#39; error after IIS session has expired?