ASP.NET Core MVC调用JWT API时User.Identity.IsAuthenticated返回false

出现这个问题的核心原因是MVC应用的HttpContext.User未被正确初始化——虽然你能通过手动携带令牌访问API的受限内容，但MVC自身的认证体系并未识别到用户已登录。以下是具体排查方向和解决方法：

1. 未正确配置JWT认证中间件 #

MVC应用需要配置JWT认证中间件来解析令牌并填充User.Identity，如果缺失或配置错误，IsAuthenticated会始终返回false。

解决方法：在Program.cs中添加并正确配置JWT认证：

using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.IdentityModel.Tokens;
using System.Text;

// 注册JWT认证服务
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            // 确保以下配置与API端的JWT配置完全一致
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
        };
        // 从Cookie中读取JWT令牌（如果你把token存在Cookie里）
        options.Events = new JwtBearerEvents
        {
            OnMessageReceived = context =>
            {
                context.Token = context.Request.Cookies["JwtToken"];
                return Task.CompletedTask;
            }
        };
    });

// 注意中间件顺序：认证必须在授权之前
app.UseRouting();
app.UseAuthentication(); // 必须在UseAuthorization之前
app.UseAuthorization();

2. 登录后未将JWT令牌存储到可被中间件读取的位置 #

如果登录后只是把token存在内存（比如Session、局部变量），认证中间件无法自动获取令牌，导致User.Identity未被初始化。

解决方法：登录成功后将令牌写入Cookie：

// 在MVC的AuthsController的Login方法中
var loginResponse = await _apiHttpClient.PostAsJsonAsync("api/auth/login", loginModel);
var tokenData = await loginResponse.Content.ReadFromJsonAsync<TokenResponse>();

// 将token写入Cookie，配置安全属性
Response.Cookies.Append("JwtToken", tokenData.AccessToken, new CookieOptions
{
    HttpOnly = true, // 防止XSS攻击
    Secure = Environment.IsProduction(), // 生产环境启用HTTPS
    Expires = DateTime.UtcNow.AddMinutes(30), // 与token有效期一致
    SameSite = SameSiteMode.Strict
});

3. 受限内容访问未依赖MVC的认证体系 #

如果你的受限内容是通过手动在API请求头中添加token实现的（比如直接给HttpClient设置Authorization头），但MVC自身的控制器/Action未添加[Authorize]属性，MVC的认证体系不会触发，User.Identity自然不会被填充。

解决方法：在需要认证的MVC控制器或Action上添加[Authorize]属性，强制MVC使用认证体系：

[Authorize]
public class RestrictedController : Controller
{
    // 你的受限Action逻辑
}

4. TokenValidationParameters配置与API端不一致 #

如果MVC端的JWT验证参数（Issuer、Audience、SigningKey）和API端不匹配，会导致令牌解析失败，User.Identity无法被正确初始化。

解决方法：检查MVC应用的appsettings.json中的JWT配置，确保和API端完全一致：

{
  "Jwt": {
    "Issuer": "你的API发行者",
    "Audience": "你的API受众",
    "Key": "你的签名密钥"
  }
}

内容的提问来源于stack exchange，提问作者user23024026