.NET8 Web API中IHttpContextAccessor.IsAuthenticated始终为false求助

我正在构建一个带有REST API的.NET 8 Web应用，想要检查请求用户是否为管理员，以此执行不同的代码逻辑，但权限检查代码始终返回false。目前发现httpContextAccessor.HttpContext?.User.Identity.IsAuthenticated始终为false。

控制器方法代码 #

[HttpPut]
[Route("api/vehicle")]
[SwaggerResponse((int)HttpStatusCode.Accepted)]
public async Task<IActionResult> VehicleModify([FromBody] VehicleModel vehicleModel)
{
    bool userIsAdmin = JwtMiddleware.IsUserInRoleForHttpContext(_httpContextAccessor, "Admin");

    if (!userIsAdmin)
    {
        _logger.LogInformation("VehicleModify {@Plate}", vehicleModel.Plate);
        return Unauthorized();
    }

    if (vehicleModel == null)
        return BadRequest();

    await _vehicleService.Modify(vehicleModel);
    return Accepted();
}

IsUserInRoleForHttpContext()方法代码 #

public static bool IsUserInRoleForHttpContext(IHttpContextAccessor httpContextAccessor, string roleName)
{
    var user = httpContextAccessor.HttpContext?.User;

    if (user == null || !user.Identity.IsAuthenticated) // IsAuthenticated always false
        return false;

    return user.IsInRole(roleName);
}

以下是导致IsAuthenticated始终为false的常见原因及对应解决方法：

• JWT中间件配置缺失或错误
  确保在Program.cs中正确添加并配置JWT认证中间件，且中间件顺序正确：

  builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
      .AddJwtBearer(options =>
      {
          options.TokenValidationParameters = new TokenValidationParameters
          {
              ValidateIssuer = true,
              ValidateAudience = true,
              ValidateLifetime = true,
              ValidateIssuerSigningKey = true,
              ValidIssuer = builder.Configuration["Jwt:Issuer"],
              ValidAudience = builder.Configuration["Jwt:Audience"],
              IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
          };
      });
  
  // 必须先添加认证中间件，再添加授权中间件
  app.UseAuthentication();
  app.UseAuthorization();
  

  检查是否遗漏上述代码，或配置的Issuer、Audience、Key与生成JWT时的参数不匹配。

• 请求未携带有效JWT令牌
  确认请求的Authorization头格式为Bearer <JWT令牌>，且令牌未过期、签名有效。可使用JWT解析工具验证令牌内容，确保核心字段与配置一致。

• 角色声明未正确配置
  生成JWT时需正确添加角色声明：

  var claims = new List<Claim>
  {
      new Claim(ClaimTypes.Name, "username"),
      new Claim(ClaimTypes.Role, "Admin")
  };
  

  同时在JWT验证参数中确保角色声明类型正确映射：

  options.TokenValidationParameters.RoleClaimType = ClaimTypes.Role;
  

• IHttpContextAccessor未注册
  确保在Program.cs中注册服务：

  builder.Services.AddHttpContextAccessor();
  

  否则注入的_httpContextAccessor无法获取有效HttpContext实例。

• 控制器未触发认证流程
  尝试在控制器类或VehicleModify方法上添加[Authorize]特性，强制触发认证流程，验证IsAuthenticated是否能变为true。

内容的提问来源于stack exchange，提问作者Val