JWT验证报IDX10206错误：aud参数为空但令牌含aud值如何解决？

一、MinApi 返回401未授权的核心原因 #

你的MinApi仅完成了认证服务的注册，但未启用认证和授权中间件，导致请求到达端点时不会执行JWT验证逻辑，直接返回401。

修复步骤： #

在Program.cs的管道配置中添加以下中间件，且顺序必须在路由配置之前：

var app = builder.Build();

// 必须先添加认证中间件，再添加授权中间件
app.UseAuthentication();
app.UseAuthorization();

// 后续路由配置示例
app.MapGet("/api/users", () => Results.Ok("用户数据"))
   .RequireAuthorization();

app.Run();

二、IDX10206 受众验证异常的排查方向 #

你提到jwt.io能解析到aud值，但本地验证抛出异常，可从以下几点逐一排查：

1. 确认生成的Token中Audience的实际值 #

在GenerateToken方法中添加日志输出，直接验证Token Payload中的aud是否正确写入：

public static string GenerateToken()
{
    var key = Encoding.UTF8.GetBytes("CallMinApiKey-ThisNeedsToBePrettyLong");

    var tokenHandler = new JwtSecurityTokenHandler();
    var tokenDescriptor = new SecurityTokenDescriptor
    {
        Subject = new ClaimsIdentity(new[]
        {
            new Claim(ClaimTypes.Name, "TestUser")
        }),
        Expires = DateTime.UtcNow.AddHours(1),
        Issuer = "TestIssuer",
        Audience = "TestAudience",
        SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature)
    };

    var token = tokenHandler.CreateJwtSecurityToken(tokenDescriptor);
    // 输出Payload中的Audience，确认是否为"TestAudience"
    Console.WriteLine($"Token Audience: {token.Payload.Audience}");

    var testTokenString = tokenHandler.WriteToken(token);
    TestValidateToken(testTokenString);

    return testTokenString;
}

2. 统一Token验证参数配置 #

确保验证参数中的ValidAudience与生成Token时的Audience完全一致（大小写、空格均需匹配），同时显式声明关键验证规则：

var validationParameters = new TokenValidationParameters
{
    ValidateIssuer = true,
    ValidateAudience = true,
    ValidateIssuerSigningKey = true,
    ValidateLifetime = true, // 显式开启过期时间验证
    ValidIssuer = "TestIssuer",
    ValidAudience = "TestAudience",
    IssuerSigningKey = new SymmetricSecurityKey(key)
};

3. 检查NuGet包版本 #

确保System.IdentityModel.Tokens.Jwt包为最新稳定版，旧版本可能存在Token解析的兼容性问题。

4. 排查Token是否被篡改 #

在TestValidateToken方法中输出传入的Token字符串，与jwt.io解析的原始字符串对比，确认Token未在传输或处理过程中被截断、编码错误。

三、额外调试建议 #

在MinApi的JWT配置中添加认证失败事件日志，便于快速定位问题根源：

.AddJwtBearer(options =>
{
    options.TokenValidationParameters = new TokenValidationParameters
    {
        // 原有配置...
    };

    // 添加认证失败日志
    options.Events = new JwtBearerEvents
    {
        OnAuthenticationFailed = context =>
        {
            Console.WriteLine($"认证失败详情：{context.Exception.Message}");
            return Task.CompletedTask;
        }
    };
});

内容的提问来源于stack exchange，提问作者ScubaSteve