.NET 8 API中UnauthorizedException被覆盖为500状态码问题求助

核心问题出在JwtBearerEvents.OnChallenge事件的处理逻辑上：

• 调用context.HandleResponse()后，ASP.NET Core已将响应标记为由当前代码处理，但后续抛出的UnauthorizedException会被框架视为未处理的服务器异常，直接触发500错误响应。
• 认证管道的事件回调（如OnChallenge）属于框架内部流程，在此处抛出的异常无法被常规全局异常处理中间件正确捕获，最终 fallback 到默认的500错误逻辑。

推荐两种修复方式，优先选择第一种（符合认证管道设计逻辑）：

方式一：直接在OnChallenge中构建401响应 #

无需抛出异常，直接通过context.Response设置正确状态码和响应内容：

options.Events = new JwtBearerEvents
{
    OnChallenge = context =>
    {
        context.HandleResponse();
        if (!context.Response.HasStarted)
        {
            context.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
            context.Response.ContentType = "application/json";
            var errorResponse = new 
            {
                Error = context.Error,
                ErrorDescription = context.ErrorDescription
            };
            return context.Response.WriteAsJsonAsync(errorResponse);
        }
        return Task.CompletedTask;
    },
    OnForbidden = context =>
    {
        context.Response.StatusCode = (int)HttpStatusCode.Forbidden;
        context.Response.ContentType = "application/json";
        return context.Response.WriteAsJsonAsync(new { Error = "Forbidden access" });
    }
};

方式二：调整全局异常处理逻辑（保留抛异常模式） #

若需继续通过自定义异常处理，需确保全局异常中间件能正确捕获认证管道抛出的异常：

1. 确保全局异常中间件在管道中最先注册（早于UseAuthentication/UseAuthorization）：

var app = builder.Build();

// 全局异常处理中间件放在最前面
app.UseMiddleware<GlobalExceptionHandlingMiddleware>();

app.UseHttpsRedirection();
app.UseAuthentication();
app.UseAuthorization();
app.MapControllers();

2. 异常中间件需识别CustomException并设置对应状态码：

public class GlobalExceptionHandlingMiddleware
{
    private readonly RequestDelegate _next;

    public GlobalExceptionHandlingMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        try
        {
            await _next(context);
        }
        catch (CustomException ex)
        {
            context.Response.StatusCode = (int)ex.StatusCode;
            context.Response.ContentType = "application/json";
            await context.Response.WriteAsJsonAsync(new
            {
                ex.Message,
                ex.ErrorMessages,
                StatusCode = ex.StatusCode
            });
        }
        catch (Exception ex)
        {
            context.Response.StatusCode = (int)HttpStatusCode.InternalServerError;
            context.Response.ContentType = "application/json";
            await context.Response.WriteAsJsonAsync(new
            {
                Message = "An unexpected error occurred",
                StatusCode = HttpStatusCode.InternalServerError
            });
        }
    }
}

• 修正Authority格式：当前代码中$"{authOptions.AADInstance} {authOptions.AADTenantID}"包含两个空格，建议改为单个空格或符合AAD规范的格式（如https://login.microsoftonline.com/{tenantId}/v2.0）。
• 确认中间件顺序：app.UseAuthentication()必须在app.UseAuthorization()之前注册，否则认证逻辑无法生效。

内容的提问来源于stack exchange，提问作者santosh kumar patro