ASP.NET Core 7 MVC中JWT登录失败，IsAuthenticated始终为false

一、API端点IsAuthenticated始终为false的说明 #

登录请求的核心是生成并返回JWT，当前请求本身不会自动标记为已认证——因为JWT认证的逻辑是：后续请求携带Authorization: Bearer {token}请求头，服务器验证token有效性后，才会将User.Identity.IsAuthenticated设为true。

如果非要在登录请求内让上下文临时变为已认证（实际意义不大，API后续请求仍需携带token），可以手动构建身份信息附加到当前HttpContext：

// 在API Login方法返回Ok之前添加
var tokenHandler = new JwtSecurityTokenHandler();
var jwtToken = tokenHandler.ReadJwtToken(result.Token);
var identity = new ClaimsIdentity(jwtToken.Claims, JwtBearerDefaults.AuthenticationScheme);
HttpContext.User = new ClaimsPrincipal(identity);

return Ok(result);

二、MVC登录跳转失败及IsAuthenticated为false的解决 #

你混淆了JWT认证与Cookie认证的逻辑：SignInManager的操作是针对Cookie认证的，但你生成JWT后没有让MVC应用正确使用它，导致跳转后仍未认证。

方案1：MVC改用Cookie认证（更符合传统MVC模式）

如果MVC应用不需要和API共享JWT，直接用Cookie认证更简单：

1. 在Program.cs配置Cookie认证：

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.LoginPath = "/Account/Login";
        options.ExpireTimeSpan = TimeSpan.FromHours(3);
    });

2. 修改MVC Login方法，直接用SignInManager完成登录：

[HttpPost]
public async Task<IActionResult> Login(LoginUserDto dto)
{
    var user = await _userManager.FindByNameAsync(dto.Username);
    if (user == null)
    {
        return BadRequest("用户不存在！");
    }

    var result = await _signInManager.PasswordSignInAsync(user, dto.Password, isPersistent: false, lockoutOnFailure: false);
    if (result.Succeeded)
    {
        return RedirectToAction("Index", "Home");
    }

    return BadRequest("登录失败");
}

此时登录后User.Identity.IsAuthenticated会自动变为true，跳转后能保持认证状态。

方案2：MVC继续使用JWT认证（适合与API共用认证体系）

如果必须用JWT，需要将token存入Cookie，并配置MVC自动从Cookie读取token：

1. 在Program.cs配置JWT认证，允许从Cookie读取token：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["JwtIssuerOptions:Issuer"],
            ValidAudience = builder.Configuration["JwtIssuerOptions:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["JwtIssuerOptions:SecretKey"]))
        };
        // 从Cookie中读取JWT
        options.Events = new JwtBearerEvents
        {
            OnMessageReceived = context =>
            {
                context.Token = context.Request.Cookies["JwtToken"];
                return Task.CompletedTask;
            }
        };
    });

2. 修改MVC Login方法，生成token后存入Cookie再跳转：

[HttpPost]
public async Task<IActionResult> Login(LoginUserDto dto)
{
    AuthCommand command = new(dto);
    var result = await _mediator.Send(command);

    if (!string.IsNullOrEmpty(result.Token))
    {
        // 将token存入HttpOnly Cookie
        Response.Cookies.Append("JwtToken", result.Token, new CookieOptions
        {
            HttpOnly = true,
            Secure = !builder.Environment.IsDevelopment(),
            Expires = result.ExpireOn
        });
        return RedirectToAction("Index", "Home");
    }

    return BadRequest("登录失败");
}

3. 确保需要认证的控制器/Action添加[Authorize]属性，跳转后User.Identity.IsAuthenticated会变为true。

三、代码优化点 #

1. SigninUserAsync中if (user.UserName == request.Username)判断多余，FindByNameAsync已根据用户名查到用户，该判断永远为true，可删除。
2. GetJwtSecurityTokenAsync中await _userManager.FindByEmailAsync(user.Email)可直接用传入的user参数，无需重复查询。

内容的提问来源于stack exchange，提问作者Mardibak