.NET 8 WebApi新增带[Authorize]属性的控制器始终返回401问题

针对你遇到的问题，以下是具体的排查和解决步骤：

1. 检查新增控制器的基础配置 #

新增控制器必须确保路由和Api控制器属性配置正确，缺失这些配置可能导致授权逻辑未被正确触发：

[ApiController]
[Route("api/[controller]")] // 确保路由前缀与现有控制器一致或符合预期
[Authorize]
public class NewController : ControllerBase
{
    [HttpGet]
    public IActionResult Get()
    {
        return Ok("Test");
    }
}

确认没有遗漏[ApiController]或路由属性，否则请求可能无法进入标准的WebApi授权流程。

2. 验证授权策略的默认配置 #

检查Program.cs中AddAuthorization的配置，确保默认策略正确应用了认证方案且要求已认证用户：

builder.Services.AddAuthorization(options =>
{
    // 确保默认策略配置正确，匹配现有控制器的授权逻辑
    options.DefaultPolicy = new AuthorizationPolicyBuilder()
        .AddAuthenticationSchemes(JwtBearerDefaults.AuthenticationScheme) // 替换为你使用的认证方案
        .RequireAuthenticatedUser()
        .Build();
});

如果现有控制器使用了自定义策略（如[Authorize(Policy = "AdminPolicy")]），新增控制器要么指定相同策略，要么确保默认策略覆盖需求。

3. 排查JWT令牌的验证规则（若使用JWT） #

如果项目基于JWT认证，需确认令牌的受众（Audience）、颁发者（Issuer）或范围（Scope）是否覆盖新增控制器的路由：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidateAudience = true,
            ValidAudience = builder.Configuration["Jwt:Audience"],
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
        };
    });

如果新增控制器的路由不在令牌的aud或scope列表中，会导致授权失败返回401。

4. 确认端点路由是否扫描到新增控制器 #

默认情况下MapControllers会扫描所有程序集中的控制器，但如果有自定义路由约定或程序集隔离，需显式指定新增控制器的程序集：

app.UseEndpoints(endpoints =>
{
    // 显式添加新增控制器所在的程序集，确保被路由扫描到
    endpoints.MapControllers().AddApplicationPart(typeof(NewController).Assembly);
    // 其他端点配置...
});

5. 启用授权日志排查具体失败原因 #

在appsettings.json中添加调试日志配置，查看授权失败的具体细节：

{
  "Logging": {
    "LogLevel": {
      "Microsoft.AspNetCore.Authentication": "Debug",
      "Microsoft.AspNetCore.Authorization": "Debug"
    }
  }
}

运行项目后查看日志，可定位是令牌验证失败、策略不匹配还是其他授权逻辑问题。

6. 检查全局过滤器与中间件顺序 #

确保UseAuthorization中间件顺序正确（在UseAuthentication之后，UseEndpoints之前），且没有自定义过滤器排除了新增控制器：

// 正确的中间件顺序
app.UseAuthentication();
app.UseAuthorization();
app.UseHangfireDashboard();
app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
    // 其他端点配置...
});

如果在AddControllers中添加了全局授权过滤器，确认没有对新增控制器做特殊排除。

内容的提问来源于stack exchange，提问作者Ozkan Tuzemen