.NET6基于请求URL配置不同JwtBearer认证方案的疑问

你的当前思路存在问题：注册两个IConfigureOptions<JwtBearerOptions>会导致两个配置类先后修改同一个默认JwtBearer方案的配置实例，最终只有最后注册的配置生效，无法同时保留两套ADFS的认证参数。正确的方向是注册两个独立的JwtBearer认证方案，再根据请求的URL动态选择对应的方案进行认证。

正确实现步骤 #

1. 注册两个独立的JwtBearer认证方案 #

分别为互联网和VPN场景配置各自的ADFS参数，每个方案使用唯一的名称标识：

services.AddAuthentication()
    // 互联网ADFS认证方案
    .AddJwtBearer("InternetJwt", options =>
    {
        _configuration.Bind("JwtSettings", options);
        options.RequireHttpsMetadata = false;
        options.SaveToken = true;
        options.EventsType = typeof(AuthEventsHandler);
    })
    // VPN ADFS认证方案
    .AddJwtBearer("VpnJwt", options =>
    {
        _configuration.Bind("JwtSettingsVPN", options);
        options.RequireHttpsMetadata = false;
        options.SaveToken = true;
        options.EventsType = typeof(AuthEventsHandler);
    });

2. 根据请求URL动态选择认证方案 #

添加一个自定义中间件，在认证流程前根据请求的Host（或其他标识）确定要使用的认证方案：

app.Use(async (context, next) =>
{
    // 根据请求Host判断是否为VPN访问（替换为你的实际域名规则）
    bool isVpnRequest = context.Request.Host.Host.Equals("vpn.yourdomain.com", StringComparison.OrdinalIgnoreCase);
    
    // 动态设置当前请求的认证方案
    var authFeature = context.Features.Get<IAuthenticationFeature>();
    authFeature.AuthenticationScheme = isVpnRequest ? "VpnJwt" : "InternetJwt";
    
    await next();
});

// 加载认证、授权中间件
app.UseAuthentication();
app.UseAuthorization();

3. 配置默认授权策略（可选） #

如果希望所有授权接口自动适配两个方案，可以配置默认授权策略，允许使用任意一个方案通过认证：

services.AddAuthorization(options =>
{
    options.DefaultPolicy = new AuthorizationPolicyBuilder()
        .AddAuthenticationSchemes("InternetJwt", "VpnJwt")
        .RequireAuthenticatedUser()
        .Build();
});

如何判断请求对应的ADFS？ #

常用的判断依据包括：

• 请求Host：通过context.Request.Host.Host获取域名，区分互联网和VPN的访问地址
• 请求路径前缀：如果两个场景使用不同的路径（如/public和/vpn），可通过context.Request.Path.StartsWithSegments判断
• 自定义请求头：要求VPN客户端携带特定请求头（如X-Access-Context: VPN），通过context.Request.Headers读取判断

注意事项 #

• 若你的AuthEventsHandler有自定义逻辑，可注入IHttpContextAccessor获取当前请求的认证方案或上下文信息，适配不同场景
• 生产环境建议开启RequireHttpsMetadata = true，保障通信安全

内容的提问来源于stack exchange，提问作者Samy Sammour