.NET 6生产环境ActionFilterAttribute无法获取access_token求助

1. 确认认证中间件配置顺序 #

ASP.NET Core中间件执行顺序直接影响认证信息加载，必须保证UseAuthentication()在UseAuthorization()之前，且位于路由中间件（UseRouting()/UseEndpoints()）前置位置。生产环境若中间件顺序错乱，会导致HttpContext无法正确读取认证数据。

示例正确配置顺序：

var app = builder.Build();

app.UseHttpsRedirection();

// 认证中间件必须在授权中间件之前
app.UseAuthentication();
app.UseAuthorization();

app.UseRouting();
app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

2. 验证Token保存配置是否开启 #

开发环境可能默认开启Token存储，但生产环境需显式配置SaveTokens = true，否则Access Token不会被保存到认证Cookie中，GetTokenAsync自然返回空值。

检查OpenID Connect配置：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(options =>
{
    // 基础配置（Authority、ClientId、ClientSecret等）
    options.SaveTokens = true; // 强制开启Token存储
});

3. 排查HTTPS与Cookie属性配置 #

生产环境强制HTTPS时，若Cookie的SecurePolicy和SameSite属性配置不当，会导致认证Cookie无法正常携带，进而无法加载Token。

调整Cookie配置：

.AddCookie(options =>
{
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 生产环境强制HTTPS传输Cookie
    options.Cookie.SameSite = SameSiteMode.Lax; // 根据跨域场景调整，避免Strict导致的Cookie丢失
    options.Cookie.HttpOnly = true;
})

4. 指定认证Scheme获取Token #

GetTokenAsync默认从当前默认认证Scheme读取Token，若生产环境使用了自定义Scheme，需显式指定Scheme名称：

// 替换为你的Cookie认证Scheme名称，默认是CookieAuthenticationDefaults.AuthenticationScheme
var accessToken = await context.HttpContext.GetTokenAsync(CookieAuthenticationDefaults.AuthenticationScheme, "access_token");

5. 验证用户认证状态 #

先确认生产环境中用户是否被正确认证，若HttpContext.User.Identity.IsAuthenticated为false，GetTokenAsync必然返回空。添加日志验证：

_logger.LogError("User Authenticated: {IsAuthenticated}", context.HttpContext.User.Identity.IsAuthenticated);
_logger.LogError("Active Auth Schemes: {Schemes}", string.Join(",", context.HttpContext.Authentication.GetAuthenticationSchemes()));

6. 复查Scoruba IDP生产环境配置 #

即使你认为配置一致，仍需核对以下点：

• Scoruba IDP生产环境的回调地址（RedirectUri）是否与应用生产域名完全匹配
• 应用对应的Client配置是否开启AllowOfflineAccess（若需长期保存Token）
• Access Token的过期时间是否过短，导致请求到达时Token已失效

内容的提问来源于stack exchange，提问作者İlyas Balgabekov