ASP.NET Core带[Authorize]的接口交替返回200与401问题排查

问题情况 #

• 带有[Authorize]特性的isAuthenticated接口，请求会交替返回200（正常）和401（未授权）状态码
• 返回401时日志提示“Session claim is not found”，此时Http.Context.User.Claims为空；返回200时无此异常
• 仅测试环境出现该问题，开发环境正常，且所有请求均携带认证Cookie

排查思路与解决方案 #

1. 检查负载均衡的会话粘滞配置 #

若测试环境为多服务器负载均衡部署，未开启会话粘滞时，同一用户的请求会被分发至不同服务器。默认内存会话存储下，服务器间会话数据不共享，会出现部分服务器无法识别Cookie的情况。

• 解决办法：
  • 开启负载均衡器的会话粘滞（会话亲和）功能，确保同一用户请求固定路由至同一服务器
  • 改用分布式会话存储（如Redis）实现服务器间会话共享，配置示例：

    builder.Services.AddStackExchangeRedisCache(options =>
    {
        options.Configuration = builder.Configuration.GetConnectionString("Redis");
        options.InstanceName = "AuthSession";
    });
    builder.Services.AddSession(options =>
    {
        options.IdleTimeout = TimeSpan.FromMinutes(30);
        options.Cookie.HttpOnly = true;
        options.Cookie.IsEssential = true;
    });
    

2. 统一Cookie配置的跨环境兼容性 #

测试环境与开发环境的Cookie配置差异，可能导致Cookie无法被正确识别：

• 确认CookieAuthenticationOptions中的Cookie.Domain设置一致，确保所有服务器使用相同域名配置
• 根据测试环境协议调整Cookie.SecurePolicy：若使用HTTP协议，需设置为CookieSecurePolicy.None避免浏览器拒绝Cookie

  builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
      .AddCookie(options =>
      {
          options.Cookie.Domain = ".your-test-domain.com";
          options.Cookie.SecurePolicy = CookieSecurePolicy.None; // 生产环境可改为Always
          options.ExpireTimeSpan = TimeSpan.FromHours(2);
          options.SlidingExpiration = true;
      });
  

3. 排查自定义授权处理器的线程安全问题 #

自定义授权处理器中的非线程安全代码，会在并发请求下引发状态异常：

• 检查HandleRequirementAsync方法，确保无共享可变状态，所有数据均从当前请求上下文获取
• 标准实现示例：

  public class SessionClaimHandler : AuthorizationHandler<SessionClaimRequirement>
  {
      private readonly IHttpContextAccessor _httpContextAccessor;
  
      public SessionClaimHandler(IHttpContextAccessor httpContextAccessor)
      {
          _httpContextAccessor = httpContextAccessor;
      }
  
      protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, SessionClaimRequirement requirement)
      {
          var httpContext = _httpContextAccessor.HttpContext;
          if (httpContext?.User?.Claims.Any(c => c.Type == requirement.ClaimType) == true)
          {
              context.Succeed(requirement);
          }
          else
          {
              var logger = httpContext?.RequestServices.GetService<ILogger<SessionClaimHandler>>();
              logger?.LogWarning("Session claim is not found for request path: {Path}", httpContext.Request.Path);
              context.Fail();
          }
          return Task.CompletedTask;
      }
  }
  

4. 排除代理与缓存干扰 #

• 使用浏览器隐私模式测试，排除本地Cookie缓存影响
• 检查测试环境反向代理（如Nginx、IIS ARR）是否修改了Cookie属性（如路径、过期时间），导致服务器无法读取有效Cookie

验证步骤 #

1. 确认负载均衡器的会话粘滞功能是否启用
2. 替换为分布式会话存储后重新部署测试环境验证
3. 对比开发与测试环境的appsettings.json认证配置，确保完全一致
4. 在测试环境添加详细日志，记录每个请求的服务器标识、Cookie内容及User.Claims状态，定位异常请求来源

内容的提问来源于stack exchange，提问作者Danil Zhilcov