diff --git a/obsidian-mcp.csproj b/obsidian-mcp.csproj
index 2c3c2cf..ce824f8 100644
--- a/obsidian-mcp.csproj
+++ b/obsidian-mcp.csproj
@@ -12,9 +12,14 @@
     <!-- MCP SDK（Streamable HTTP transport） -->
     <PackageReference Include="ModelContextProtocol" Version="1.0.0" />
     <PackageReference Include="ModelContextProtocol.AspNetCore" Version="1.0.0" />
-    <!-- JWT 验签 -->
+    <!-- JWT 验签。不显式 pin Microsoft.IdentityModel.Tokens：
+         JwtBearer 10.0.7 传递依赖 Microsoft.IdentityModel.JsonWebTokens 9.x，
+         JsonWebTokens 9.x 调 Base64UrlEncoder.Decode(ReadOnlySpan, Span)，
+         该 overload 在 Microsoft.IdentityModel.Tokens 9.x 才加入，显式 pin 8.9.0
+         会强制 NuGet downgrade Tokens 到 8.9 → runtime MissingMethodException。
+         让 JwtBearer 拉自己的传递依赖即可，代码用的 SymmetricSecurityKey 等
+         基础类型在任意版本都可用。 -->
     <PackageReference Include="Microsoft.AspNetCore.Authentication.JwtBearer" Version="10.0.7" />
-    <PackageReference Include="Microsoft.IdentityModel.Tokens" Version="8.9.0" />
     <!-- glob 匹配 -->
     <PackageReference Include="Microsoft.Extensions.FileSystemGlobbing" Version="10.0.7" />
   </ItemGroup>