ASP.NET Core中同时接收HttpOnly Cookie与Bearer Token的优先级疑问

核心结论 #

1. 你的假设正确：显式的Bearer Token优先级应该更高
   这是行业通用的最佳实践——Bearer Token是客户端主动显式传递的，代表明确的授权意图；而Cookie是浏览器/客户端自动携带的，可能存在旧会话残留、跨域误携带等情况，优先处理Bearer能避免这类意外。

2. 你的理解正确：context.Token只能存储一个令牌，必须二选一
   每个认证上下文对应单一认证方案的结果，所以同一请求中只能使用一个令牌完成授权。

ASP.NET Core中的具体实现方式 #

默认情况下，框架不会自动处理多认证方案的优先级，需要你手动配置来实现Bearer优先的逻辑，以下是两种常见方案：

方案1：通过授权策略指定方案顺序

在配置授权时，将Bearer方案放在前面，框架会按顺序尝试认证，一旦某方案成功就停止后续尝试：

builder.Services.AddAuthorization(options =>
{
    options.DefaultPolicy = new AuthorizationPolicyBuilder(
        JwtBearerDefaults.AuthenticationScheme,
        CookieAuthenticationDefaults.AuthenticationScheme)
        .RequireAuthenticatedUser()
        .Build();
});

方案2：自定义中间件强制优先Bearer

如果需要更精细的控制（比如即使Cookie有效，只要Bearer存在就用Bearer），可以写一个自定义中间件手动触发认证：

app.Use(async (context, next) =>
{
    // 先尝试Bearer认证
    var bearerAuthResult = await context.AuthenticateAsync(JwtBearerDefaults.AuthenticationScheme);
    if (bearerAuthResult.Succeeded)
    {
        context.User = bearerAuthResult.Principal;
    }
    else
    {
        // Bearer失败时再尝试Cookie认证
        var cookieAuthResult = await context.AuthenticateAsync(CookieAuthenticationDefaults.AuthenticationScheme);
        if (cookieAuthResult.Succeeded)
        {
            context.User = cookieAuthResult.Principal;
        }
    }

    await next();
});

补充：JwtBearer中间件的令牌提取逻辑

你也可以在JwtBearer的事件中确保优先提取Authorization头的令牌，避免和Cookie冲突：

builder.Services.AddJwtBearer(JwtBearerDefaults.AuthenticationScheme, options =>
{
    options.Events = new JwtBearerEvents
    {
        OnMessageReceived = context =>
        {
            // 优先从Authorization头提取Bearer Token
            var authHeader = context.Request.Headers.Authorization.FirstOrDefault();
            if (!string.IsNullOrEmpty(authHeader) && authHeader.StartsWith("Bearer "))
            {
                context.Token = authHeader.Substring("Bearer ".Length).Trim();
            }
            return Task.CompletedTask;
        }
    };

    // 其他JWT验证参数配置...
});

内容的提问来源于stack exchange，提问作者pierre.b