如何在ASP.NET Core中为特定路由限制JWT与Windows认证方案

问题根源 #

ASP.NET Core默认会在认证失败时，遍历所有已注册的认证方案，每个方案都会向响应中添加对应的WWW-Authenticate头——哪怕你已经通过授权策略指定了单一认证方案，其他方案仍会参与挑战流程，导致头信息包含多个认证类型。

方法一：通过认证方案事件自定义挑战响应 #

直接在JWT和Negotiate的认证配置中，重写OnChallenge事件，清除多余头信息，只保留当前方案对应的头：

修改Program.cs中的认证配置：

builder.Services.AddAuthentication()
    .AddJwtBearer(JwtBearerDefaults.AuthenticationScheme, options =>
    {
        options.RequireHttpsMetadata = false;
        options.SaveToken = true;
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Issuer"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(builder.Configuration["Jwt:Key"]))
        };

        // 自定义JWT挑战响应，仅保留Bearer头
        options.Events = new JwtBearerEvents
        {
            OnChallenge = context =>
            {
                context.Response.Headers.Remove("WWW-Authenticate");
                context.Response.Headers.Append("WWW-Authenticate", $"Bearer {context.ErrorDescription ?? string.Empty}");
                return Task.CompletedTask;
            }
        };
     })
    .AddNegotiate(options =>
    {
        // 自定义Negotiate挑战响应，仅保留Negotiate头
        options.Events = new NegotiateEvents
        {
            OnChallenge = context =>
            {
                context.Response.Headers.Remove("WWW-Authenticate");
                context.Response.Headers.Append("WWW-Authenticate", "Negotiate");
                return Task.CompletedTask;
            }
        };
    });

同时确保授权策略明确绑定对应的认证和挑战方案：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("JwtAuthPolicy", policy =>
    {
        policy.AuthenticationSchemes.Add(JwtBearerDefaults.AuthenticationScheme);
        policy.ChallengeSchemes.Add(JwtBearerDefaults.AuthenticationScheme);
        policy.RequireAuthenticatedUser();
    });

    options.AddPolicy("WinAuthPolicy", policy =>
    {
        policy.AuthenticationSchemes.Add(NegotiateDefaults.AuthenticationScheme);
        policy.ChallengeSchemes.Add(NegotiateDefaults.AuthenticationScheme);
        policy.RequireAuthenticatedUser();
    });
});

方法二：使用中间件动态修改响应头 #

如果需要更灵活的控制（比如根据路由而非策略判断），可以在授权中间件之后添加自定义中间件，根据当前端点的授权元数据修改WWW-Authenticate头：

app.UseAuthentication();
app.UseAuthorization();

// 新增自定义中间件处理401响应头
app.Use(async (context, next) =>
{
    await next();

    // 仅处理401未授权的响应
    if (context.Response.StatusCode == StatusCodes.Status401Unauthorized)
    {
        var endpoint = context.GetEndpoint();
        if (endpoint != null)
        {
            var authorizeAttr = endpoint.Metadata.GetMetadata<AuthorizeAttribute>();
            if (authorizeAttr != null)
            {
                context.Response.Headers.Remove("WWW-Authenticate");
                switch (authorizeAttr.Policy)
                {
                    case "JwtAuthPolicy":
                        context.Response.Headers.Append("WWW-Authenticate", "Bearer");
                        break;
                    case "WinAuthPolicy":
                        context.Response.Headers.Append("WWW-Authenticate", "Negotiate");
                        break;
                }
            }
        }
    }
});

验证效果 #

• 访问受JWT策略保护的路由，未携带有效Bearer token时，响应头仅返回WWW-Authenticate: Bearer
• 访问受Windows认证策略保护的路由，未通过Negotiate认证时，响应头仅返回WWW-Authenticate: Negotiate

内容的提问来源于stack exchange，提问作者simsim