ASP.NET Core自定义认证Scheme名称无法生效问题排查

核心问题分析 #

当你将认证Scheme名称从Bearer改为自定义名称（如Scheme2）时，请求的Authorization头仍使用Bearer前缀（这是JWT令牌的标准前缀，与ASP.NET Core的认证Scheme名称无关），但认证失败触发Challenge。根据你提到的事件触发顺序（OnMessageReceived → OnChallenge），说明令牌已被成功提取，但令牌验证过程失败，导致未生成认证用户。

具体排查与解决步骤 #

1. 捕获验证失败的具体异常
   在注册自定义Scheme的JwtBearer配置中添加OnAuthenticationFailed事件处理器，输出验证过程中的异常信息，这是定位问题的关键：

   builder.Services.AddAuthentication()
           .AddJwtBearer("Scheme2", options =>
           {
               options.Authority = "Authority";
               options.Audience = "Audience";
               options.Events = new JwtBearerEvents
               {
                   OnAuthenticationFailed = context =>
                   {
                       // 输出异常详情，可替换为项目日志组件
                       Console.WriteLine($"验证失败原因：{context.Exception.Message}");
                       Console.WriteLine($"异常堆栈：{context.Exception.StackTrace}");
                       return Task.CompletedTask;
                   },
                   OnMessageReceived = context =>
                   {
                       Console.WriteLine($"提取到令牌：{context.Token}");
                       return Task.CompletedTask;
                   }
               };
           });
   

   常见的验证失败原因包括：

   • 令牌签名与Authority配置不匹配
   • 令牌的aud（受众）或iss（签发者）与配置不一致
   • 令牌已过期

2. 确保自定义Scheme配置与Bearer完全一致
   确认Authority、Audience等核心参数与使用BearerScheme时完全相同，避免因配置笔误导致验证失败。

3. 验证请求令牌的有效性
   使用JWT解析工具（如jwt.io）检查令牌的iss、aud、exp等声明是否与你的配置匹配。

4. 多认证方案的正确配置（针对你的最终目标）
   若要实现多认证Scheme，需注册多个JwtBearer实例，并在授权策略中指定允许的Scheme：

   // 注册两个独立的JWT认证Scheme
   builder.Services.AddAuthentication()
           .AddJwtBearer("Bearer", options =>
           {
               options.Authority = "Authority1";
               options.Audience = "Audience1";
           })
           .AddJwtBearer("Scheme2", options =>
           {
               options.Authority = "Authority2";
               options.Audience = "Audience2";
           });
   
   // 授权策略允许使用任意一个Scheme完成认证
   var policy = new AuthorizationPolicyBuilder("Bearer", "Scheme2")
               .RequireAuthenticatedUser()
               .Build();
   

为什么BearerScheme能正常工作？ #

ASP.NET Core的JwtBearer中间件并没有对Bearer这个Scheme名称有特殊依赖逻辑，它只是一个标识。你使用Bearer时正常，说明该Scheme对应的配置、令牌都是有效的；而自定义Scheme失败，必然是验证环节出现了配置或令牌匹配的问题，通过捕获异常即可快速定位。

内容的提问来源于stack exchange，提问作者Eric