.NET Core 3.1应用Docker部署后调用API返回401 Unauthorized问题排查求助

根据你描述的场景——本地IDE运行正常，Docker部署后就出现401，而且API本身没问题，咱们可以从以下几个方向逐步排查：

一、先确认Docker环境中请求的Authorization头是否正确发送 #

这是最常见的原因，毕竟本地正常、容器异常，大概率是请求的认证信息在容器里出了问题：

• 临时加日志验证：在你的API调用代码里，发送请求前打印Authorization头的内容，以及从环境变量读取的用户名、密码：

  Console.WriteLine($"API Username: {Settings.envApiUsername}");
  Console.WriteLine($"API Password: {Settings.envApiPassword}");
  Console.WriteLine($"Authorization Header: {client.DefaultRequestHeaders.Authorization?.ToString()}");
  

  然后查看Docker容器的日志（docker logs <webfrontend-container-id>），对比本地IDE运行时的输出，确认用户名密码没有读取错误，Base64编码后的字符串完全一致。尤其注意密码里的特殊字符（比如$、!、@）在Docker Compose环境变量里有没有被转义，比如$需要写成$$才能正确传递。
• 抓包验证请求：在Web Server的Docker容器里安装tcpdump，抓包查看发送到API Server的请求，确认Authorization头是否存在且内容正确。比如：

  # 进入容器
  docker exec -it <webfrontend-container-id> bash
  # 安装tcpdump（基于Debian/Ubuntu镜像）
  apt-get update && apt-get install -y tcpdump
  # 抓包目标API的流量
  tcpdump -i any host <API-SERVER-IP> and port 443 -A
  

  从抓包结果里找到Authorization字段，解码后看是否和预期一致。

二、检查Docker容器的HTTPS证书信任问题 #

因为API用的是HTTPS，Docker容器默认的根证书存储和本地不一样，可能导致HttpClient在建立连接时出现异常，间接影响认证头的发送：

• 临时禁用证书验证测试：修改HttpClient的创建代码，添加证书跳过逻辑（仅用于排查，生产环境绝对不要用）：

  var handler = new HttpClientHandler();
  handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;
  private static readonly HttpClient client = new HttpClient(handler);
  

  如果修改后能正常调用，说明是证书信任问题。这时候需要把API Server的CA证书导入到Docker容器的信任存储中，比如基于Debian的镜像可以把证书放到/usr/local/share/ca-certificates/目录，然后运行update-ca-certificates。

三、确认API Server的访问策略是否限制Docker网络 #

既然Web Server和API Server都在Docker容器里，要检查API Server是否允许来自Web Server所在Docker网络的请求：

• 查看API Server的日志：直接看API Server的访问日志，确认收到来自Web Server容器的请求时，Authorization头是否存在，以及解码后的用户名密码是否正确。如果API Server日志里根本没收到Authorization头，那问题肯定在Web Server的发送端；如果收到了但认证失败，那就要检查API Server的认证逻辑是否对Docker内部网络的请求有特殊限制。
• 检查网络连通性：在Web Server容器里直接用curl调用API，看是否能成功：

  curl -u <USERNAME>:<PASSWORD> <API-ENDPOINT-URL>
  

  如果curl能成功，说明是代码里的HttpClient配置有问题；如果curl也返回401，那就要排查API Server的认证策略或者容器间的网络问题。

四、检查HttpClient的初始化和配置差异 #

因为HttpClient是静态的，在容器启动时就初始化了，要确认初始化时环境变量是否已经正确加载：

• 验证BaseUrl的正确性：检查Settings.envApiBaseUrl在Docker容器里的值是否和本地一致，尤其注意末尾是否有斜杠，比如如果BaseUrl是https://ENDPOINTURL，拼接search?xxx会变成https://ENDPOINTURLsearch?xxx（错误），而本地可能因为IDE的配置自动补了斜杠。可以修改代码，确保拼接URL时的正确性：

  string URL = $"search?search-text=Amarajith";
  var requestUri = new Uri(client.BaseAddress, URL); // 用Uri类自动处理路径拼接
  getRequestTask = client.GetStringAsync(requestUri);
  

• 检查HttpClient的默认配置：本地IDE可能有一些默认的代理或者配置，而Docker容器里没有。可以尝试不使用静态HttpClient，而是在每次请求时创建新的HttpClient（虽然不推荐，但用于排查），看是否能解决问题。

五、排除CORS和中间件顺序的影响 #

虽然后端调用API不受CORS限制，但还是可以检查Web Server的中间件顺序是否正确：
你的Startup里UseCors放在了UseRouting之前，正确的顺序应该是UseRouting之后，UseAuthorization之前。修改后试试：

app.UseDeveloperExceptionPage();
app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();
app.UseCors(MyAllowSpecificOrigins); // 调整到UseRouting之后
app.UseAuthorization();
app.UseEndpoints(endpoints => {
    endpoints.MapControllerRoute(
        name: "default",
        pattern: "{controller=Home}/{action=Index}/{id?}"
    );
});

不过这个大概率不是问题，但调整一下也没坏处。

内容的提问来源于stack exchange，提问作者yogibear