使用Forbid()返回404而非403，改用StatusCode(403)正常的问题排查

问题场景 #

我开发的问答Web平台需实现权限控制：仅内容所有者或管理员可更新/删除问答、投票等内容。目前大部分逻辑正常——所有者能删自己的内容，管理员也能操作，但用非所有者且非管理员的账号更新问题时，调用Forbid()本该返回403 Forbidden，实际却返回404 Not Found。换成StatusCode(403)能正常返回403，我认为Forbid()更适配“已认证但无权限”的场景，怀疑问题出在项目其他配置环节。

相关代码 #

更新问题接口代码 #

[HttpPut("{id}")]
[Authorize(AuthenticationSchemes = "Bearer")]
public async Task<IActionResult> UpdateQuestion(int id, QuestionUpdateDto questionUpdateDto)
{
    var question = await _context.Questions.FindAsync(id);
    if (question == null)
    {
        return NotFound();
    }

    var currentUserId = User.FindFirstValue(ClaimTypes.NameIdentifier);
    var currentUser = await _userManager.FindByIdAsync(currentUserId);
    var isAdmin = await _userManager.IsInRoleAsync(currentUser, "Admin");

    if (question.UserId != currentUserId && !isAdmin)
    {
        return Forbid();
    }

    question.Title = questionUpdateDto.Title;
    question.Content = questionUpdateDto.Content;
    // 其他字段更新逻辑

    await _context.SaveChangesAsync();
    return NoContent();
}

Program.cs认证服务配置代码 #

builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})

原因分析 #

Forbid()方法会触发ASP.NET Core的授权禁止流程，而非直接返回状态码。如果你的项目中存在以下情况，会导致框架无法正确生成403响应，反而返回404：

• 未正确配置JWT认证的OnForbidden事件处理
• 缺少授权策略的默认禁止响应配置
• 全局错误拦截中间件将403重写为404

解决方案 #

1. 配置JWT认证的OnForbidden事件 #

在Program.cs的JWT认证配置中，添加OnForbidden事件处理，明确返回403状态码：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        // 原有JWT验证配置（如Issuer、Audience、SigningKey等）
        
        options.Events = new JwtBearerEvents
        {
            OnForbidden = context =>
            {
                context.Response.StatusCode = StatusCodes.Status403Forbidden;
                return Task.CompletedTask;
            }
        };
    });

2. 明确指定认证方案调用Forbid() #

在接口中调用Forbid()时，指定对应的认证方案，避免框架使用默认配置导致的异常：

if (question.UserId != currentUserId && !isAdmin)
{
    return Forbid("Bearer");
}

3. 检查全局错误处理中间件 #

排查项目中是否存在自定义异常处理中间件，确认其没有将403状态码错误转换为404。例如某些中间件会拦截所有错误并跳转，需确保403被正确保留。

补充说明 #

Forbid()确实是“已认证但无权限”场景的标准用法，它会触发授权系统的完整流程，而StatusCode(403)只是直接返回状态码。修复配置后，Forbid()就能正常返回403，符合框架设计规范。

内容的提问来源于stack exchange，提问作者Baterie