ASP.NET Core中两种认证方案共存的配置问题

1. 确认Cookie认证Scheme的正确性 #

内置Cookie认证的默认Scheme是CookieAuthenticationDefaults.AuthenticationScheme，但要注意：

• 如果配置时未自定义Scheme名称（即.AddCookie()无额外参数），则默认Scheme就是该值；
• 若你显式指定了Cookie的Scheme名称（比如.AddCookie("MyCustomCookie", options => { ... })），后续所有引用必须使用这个自定义名称，否则会匹配失败。

2. 正确配置多认证方案授权策略 #

要让端点同时接受两种认证，需在授权策略中明确添加两种Scheme，并确保策略要求已认证用户：

builder.Services.AddAuthorization(options =>
{
    // 默认策略：仅使用Cookie认证
    options.DefaultPolicy = new AuthorizationPolicyBuilder(CookieAuthenticationDefaults.AuthenticationScheme)
        .RequireAuthenticatedUser()
        .Build();

    // 自定义策略：支持Cookie和自定义Header认证
    options.AddPolicy("CookieOrHeaderAuth", policy =>
    {
        // 添加Cookie认证Scheme（根据实际配置替换为你的Scheme名称）
        policy.AuthenticationSchemes.Add(CookieAuthenticationDefaults.AuthenticationScheme);
        // 添加自定义Header认证Scheme（替换为你自定义认证的Scheme名称）
        policy.AuthenticationSchemes.Add("CustomHeaderAuthScheme");
        policy.RequireAuthenticatedUser();
    });
});

3. 端点授权绑定 #

对需要支持双认证的端点，直接绑定自定义策略即可：

• 在路由配置中绑定：

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}")
    .RequireAuthorization("CookieOrHeaderAuth");

• 或在Controller/Action上通过特性绑定：

[Authorize(Policy = "CookieOrHeaderAuth")]
public class SpecialController : Controller
{
    // ...
}

4. 排查默认策略失效问题 #

若显式指定CookieScheme后默认策略失效，检查AddAuthentication的默认Scheme配置：

• 如果Cookie认证使用了自定义Scheme，必须将其设为全局默认Scheme：

// 假设Cookie认证的Scheme是"MyCustomCookie"
builder.Services.AddAuthentication("MyCustomCookie")
    .AddCookie("MyCustomCookie", options =>
    {
        // Cookie配置项
    })
    .AddScheme<CustomHeaderAuthOptions, CustomHeaderAuthHandler>("CustomHeaderAuthScheme", options =>
    {
        // 自定义Header认证配置项
    });

5. 确保中间件顺序正确 #

认证中间件必须在授权中间件之前执行，否则认证逻辑不会生效：

app.UseAuthentication();
app.UseAuthorization();

内容的提问来源于stack exchange，提问作者Master_T