如何基于请求头在运行时切换身份验证方案

你的问题核心是错误修改了Authorization请求头的格式，导致认证中间件无法正确识别并使用指定的认证方案。以下是两种可行的解决方案，均基于ASP.NET Core的认证体系设计：

方案一：使用PolicyScheme（推荐） #

这种方式将动态方案选择逻辑集成到ASP.NET Core的认证管道中，是最符合框架设计的优雅实现。

修改ConfigureServices中的认证配置 #

替换原有的AddAuthentication配置，添加一个动态转发的PolicyScheme作为默认方案：

services.AddAuthentication(options =>
{
    // 设置默认方案为自定义的动态转发方案
    options.DefaultAuthenticateScheme = "DynamicAuthScheme";
    options.DefaultChallengeScheme = "DynamicAuthScheme";
})
// 添加动态转发的PolicyScheme
.AddPolicyScheme("DynamicAuthScheme", "Dynamic Authentication", options =>
{
    // 根据请求头选择实际要使用的认证方案
    options.ForwardDefaultSelector = context =>
    {
        var authMethod = context.Request.Headers["auth-method"].FirstOrDefault();
        // 若请求头指定jwt则用JwtBearer，默认用IdentityServer
        return string.Equals(authMethod, "jwt", StringComparison.OrdinalIgnoreCase) 
            ? "JwtBearer" 
            : "IdentityServer";
    };
})
// 保留原IdentityServer认证配置
.AddIdentityServerAuthentication("IdentityServer", options =>
{
    options.Authority = Config.IdentityServerBaseUri;
    options.RequireHttpsMetadata = false;
    options.ApiName = Config.DafAppApiName;
    options.ApiSecret = Config.LeisureClientSecret;
})
// 保留原JWT认证配置
.AddJwtBearer("JwtBearer", cfg =>
{
    cfg.RequireHttpsMetadata = false;
    cfg.SaveToken = true;

    cfg.TokenValidationParameters = new TokenValidationParameters()
    {
        ValidIssuer = Config.CustomClaimPrefix,
        ValidAudience = Config.CustomClaimPrefix,
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Config.LeisureClientSecret))
    };
});

为什么这个方案有效 #

• PolicyScheme作为中间层，会根据请求头auth-method自动将认证请求转发到对应的方案（JwtBearer/IdentityServer）
• 无需修改Authorization请求头：两个认证方案默认都处理Bearer类型的令牌，原请求头Authorization: Bearer xxx.yyy.zzz的格式完全符合要求

方案二：自定义中间件手动触发认证 #

如果需要更灵活的控制，可以通过中间件手动触发指定方案的认证，并将结果绑定到请求上下文。

修改Configure中的中间件顺序 #

在UseAuthentication之前添加自定义中间件：

// 自定义动态认证中间件，放在UseAuthentication之前
app.Use(async (context, next) =>
{
    var authMethod = context.Request.Headers["auth-method"].FirstOrDefault();
    var targetScheme = string.Equals(authMethod, "jwt", StringComparison.OrdinalIgnoreCase) 
        ? "JwtBearer" 
        : "IdentityServer";

    // 手动触发指定方案的认证
    var authResult = await context.AuthenticateAsync(targetScheme);
    if (authResult.Succeeded)
    {
        // 将认证成功的用户信息绑定到上下文
        context.User = authResult.Principal;
    }

    await next.Invoke();
});

app.UseAuthentication();
app.UseAuthorization();

注意事项 #

• 如果认证失败，可根据业务需求选择直接返回401，或者继续执行后续中间件（兼容你的AccessTokenIsOptional策略）
• 此方案需要确保原有的AddIdentityServerAuthentication和AddJwtBearer配置中的方案名称与中间件中的一致

原代码无效的原因 #

你之前修改Authorization头的逻辑是错误的：

原代码将Authorization: Bearer xxx.yyy.zzz改为Authorization: JwtBearer xxx.yyy.zzz

但JwtBearer认证方案只识别Bearer类型的令牌头，修改后的头格式不符合它的预期，导致认证失败；而IdentityServer认证方案同样只处理Bearer头，所以最终会用默认的IdentityServer方案去验证JWT令牌，自然无法通过。

内容的提问来源于stack exchange，提问作者Chris Gilbert