非生产环境下如何跳过REST API的JWT身份验证

下面提供几种实用的实现方式，适配你的需求：

方案一：针对授权策略添加环境判断（最精准） #

直接在授权策略的配置中根据环境开关验证逻辑，非生产环境下目标策略直接放行，生产环境保留原有验证规则：

var env = builder.Environment;

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy(AuthorizationDefaults.PsAuthorizePolicy, policy =>
    {
        if (!env.IsProduction())
        {
            // 非生产环境直接允许所有请求通过该策略
            policy.RequireAssertion(_ => true);
        }
        else
        {
            // 生产环境保留原有配置
            policy.AddAuthenticationSchemes(JwtBearerDefaults.AuthenticationScheme);
            // 补充原策略的其他要求（比如角色、声明验证等）
        }
    });
});

这个方案仅作用于指定的PsAuthorizePolicy策略，不会影响其他授权规则，适合精准控制的场景。

方案二：全局授权处理器（最简便） #

创建自定义授权处理器，非生产环境自动跳过所有授权验证，生产环境正常执行原有逻辑：

public class SkipNonProductionAuthorizationHandler : IAuthorizationHandler
{
    private readonly IWebHostEnvironment _env;

    public SkipNonProductionAuthorizationHandler(IWebHostEnvironment env)
    {
        _env = env;
    }

    public Task HandleAsync(AuthorizationHandlerContext context)
    {
        if (!_env.IsProduction())
        {
            // 非生产环境标记所有待处理的授权要求为已满足
            foreach (var requirement in context.PendingRequirements.ToList())
            {
                context.Succeed(requirement);
            }
        }
        // 生产环境不干预，交给原有处理器执行验证
        return Task.CompletedTask;
    }
}

在Program.cs中注册该处理器：

builder.Services.AddScoped<IAuthorizationHandler, SkipNonProductionAuthorizationHandler>();

这个方案全局生效，所有带[Authorize]特性的控制器/接口都会在非生产环境跳过验证，无需修改现有策略或控制器代码。

方案三：修改JWT验证逻辑（适配仅跳过JWT验证场景） #

如果仅需跳过JWT令牌验证、保留授权策略其他规则，可在JWT配置中添加环境判断：

var env = builder.Environment;

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        if (env.IsProduction())
        {
            // 生产环境正常配置令牌验证参数
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidateAudience = true,
                ValidateLifetime = true,
                ValidateIssuerSigningKey = true,
                // 补充你的生产环境验证配置
            };
        }
        else
        {
            // 非生产环境关闭所有令牌验证，允许空令牌
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = false,
                ValidateAudience = false,
                ValidateLifetime = false,
                ValidateIssuerSigningKey = false,
            };

            options.Events = new JwtBearerEvents
            {
                OnMessageReceived = context =>
                {
                    // 无令牌时也标记验证通过
                    if (string.IsNullOrEmpty(context.Token))
                    {
                        context.Success();
                    }
                    return Task.CompletedTask;
                }
            };
        }
    });

注意：如果授权策略除JWT验证外还有其他要求（如角色检查），需结合方案一修改策略，否则非生产环境仍会触发其他授权规则。

内容的提问来源于stack exchange，提问作者MB34