配置正确仍返回401未授权？ASP.NET Core JWT认证问题排查

核心问题排查与修复 #

1. JWT签名密钥读取不匹配 #

在CreateJwtAsync方法中，读取密钥用的是_configuration["JWT:key"]（小写k），而Program.cs里的配置读取是builder.Configuration["JWT:Key"]（大写K）。如果配置文件里的密钥键名是Key（大写），这里会读取到空值，导致签名验证失败，直接返回401。

修复代码：

var key = _configuration["JWT:Key"]; // 改为大写K，与Program.cs配置读取保持一致

2. 请求头Authorization格式错误 #

Login接口返回Token时，设置响应头的代码是HttpContext.Response.Headers["Authorization"] = stringJwt;，但标准JWT认证要求请求头必须带有Bearer 前缀，格式应为Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...。

修复Login接口代码：

HttpContext.Response.Headers["Authorization"] = $"Bearer {stringJwt}";

同时需确保前端请求授权接口时，请求头的Authorization值遵循该格式，否则认证中间件无法识别Token。

3. JWT生成使用虚假用户实例 #

在CreateJwtAsync方法中，你创建了一个新的IdentityUser对象：

var user = new IdentityUser() { Email = loginDTO.Email };

该对象并非从数据库获取的真实用户，因此_userManager.GetRolesAsync(user)和_userManager.GetClaimsAsync(user)无法拿到真实的用户角色与声明。虽然这不会直接导致401，但后续若接口基于角色/声明授权会出现问题，且不符合正确的JWT生成逻辑。

修复代码：
先通过邮箱从数据库获取真实用户：

var user = await _userManager.FindByEmailAsync(loginDTO.Email);
if(user == null) throw new Exception("用户不存在");

再执行后续角色和声明的获取逻辑。

4. 验证TokenValidationParameters配置 #

确保appsettings.json中的JWT配置项（Issuer、Audience、Key）与代码读取的一致，示例配置：

"JWT": {
  "Issuer": "你的Issuer值",
  "Audience": "你的Audience值",
  "Key": "至少16位长度的密钥字符串"
}

若Key长度不足，HmacSha256签名会无效，导致验证失败返回401。

5. 额外调试建议 #

若以上修复后仍有问题，可开启JWT认证日志查看具体错误：
在Program.cs的JWT配置中添加事件监听：

.AddJwtBearer(options =>
{
    // 现有配置...
    options.Events = new JwtBearerEvents
    {
        OnAuthenticationFailed = context =>
        {
            Console.WriteLine($"认证失败: {context.Exception.Message}");
            return Task.CompletedTask;
        },
        OnTokenValidated = context =>
        {
            Console.WriteLine("Token验证成功");
            return Task.CompletedTask;
        }
    };
});

运行程序后查看控制台日志，即可明确Token验证失败的具体原因。

内容的提问来源于stack exchange，提问作者A_AhMaD