.NET 7 JWT认证异常：令牌已验证却提示缺失的问题排查

1. 控制器方法未被调用的原因 #

核心原因是认证流程最终判定未通过，请求被拦截无法进入控制器方法，具体场景包括：

• 中间件顺序错误：UseAuthentication() 必须在 UseAuthorization() 之前执行，顺序颠倒会导致授权逻辑先触发，此时认证未完成直接返回401。
• 令牌Claim不满足授权要求：如果 [Authorize] 指定了角色（如 [Authorize(Roles = "Admin")]）或自定义Policy，但令牌缺少对应Claim，即使令牌验证通过，授权环节仍会失败。
• 认证Scheme不匹配：配置JWT时指定了自定义Scheme（如 AddJwtBearer("MyJwt", ...)），但 [Authorize] 未关联该Scheme，导致默认认证逻辑不生效。
• 令牌验证后逻辑失败：OnTokenValidated 事件中抛出异常或手动调用 context.Fail()，会直接导致认证失败，哪怕令牌本身合法。

2. 令牌同时被标记为缺失和已验证的原因 #

这种矛盾日志是同一请求周期内认证流程被多次触发导致的，常见场景：

• 预检请求干扰：跨域接口会先触发OPTIONS预检请求，该请求不会携带Authorization头，因此 OnMessageReceived 提示令牌缺失；后续实际业务请求携带令牌触发 OnTokenValidated，但如果认证中间件未跳过OPTIONS请求校验，就会返回401。
• 多认证Scheme冲突：应用中注册了多个认证Scheme（如JWT+Cookie），不同Scheme的认证流程分别执行，其中一个Scheme找不到令牌触发缺失日志，另一个Scheme找到令牌完成验证。
• OnMessageReceived 自定义逻辑问题：如果在该事件中自定义了令牌获取逻辑（比如从QueryString取），可能存在第一次获取失败返回null，后续默认逻辑又从Authorization头拿到令牌的情况，导致两次事件触发。

3. 确保控制器方法正常执行的方案 #

按以下步骤逐一排查修复：

步骤1：校验中间件顺序 #

在 Program.cs 中确保中间件顺序正确：

var app = builder.Build();

app.UseHttpsRedirection();
// 先执行认证
app.UseAuthentication();
// 再执行授权
app.UseAuthorization();

app.MapControllers();
app.Run();

步骤2：检查JWT认证配置 #

确保配置参数与令牌生成逻辑完全一致，重点核对：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = "你的签发者",
            ValidAudience = "你的受众",
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("你的密钥"))
        };

        // 增加错误日志排查
        options.Events = new JwtBearerEvents
        {
            OnAuthenticationFailed = context =>
            {
                Console.WriteLine($"认证失败：{context.Exception.Message}");
                if (context.Exception.InnerException != null)
                {
                    Console.WriteLine($"内部异常：{context.Exception.InnerException.Message}");
                }
                return Task.CompletedTask;
            }
        };
    });

步骤3：处理预检请求（跨域场景） #

配置CORS并让认证中间件跳过OPTIONS请求校验：

// 配置CORS
builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowAll", policy =>
    {
        policy.AllowAnyOrigin()
              .AllowAnyHeader()
              .AllowAnyMethod();
    });
});

// 启用CORS（顺序在认证之前）
app.UseCors("AllowAll");

// 修改JWT事件跳过OPTIONS请求
options.Events.OnMessageReceived = context =>
{
    if (context.Request.Method == HttpMethod.Options.Method)
    {
        context.Response.StatusCode = StatusCodes.Status200OK;
        return Task.CompletedTask;
    }
    return Task.CompletedTask;
};

步骤4：验证令牌内容与授权要求 #

• 用JWT解析工具（如jwt.io）解析令牌，确认Claim满足 [Authorize] 要求：比如角色授权需要令牌包含 http://schemas.microsoft.com/ws/2008/06/identity/claims/role 或自定义角色Claim。
• 确保 [Authorize] 指定正确的Scheme（如果用了自定义Scheme）：

  [Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
  public class ValuesController : ControllerBase
  {
      // ...
  }
  

内容的提问来源于stack exchange，提问作者Daan