ASP.NET Core 7+IdentityServer4：多域名访问时HttpContext.User为空问题

你的问题出在多域名场景下，IdentityServer4和ASP.NET Core认证中间件的配置未适配跨域名的认证上下文同步，导致切换域名后JWT验证通过但HttpContext.User未被正确填充。以下是针对性的解决步骤：

1. 明确默认认证方案 #

默认情况下，ASP.NET Core可能优先使用IdentityServer的Cookie认证方案处理API请求，导致JWT认证的Claims未绑定到HttpContext.User。修改认证配置，指定JWT为API的默认认证方案：

services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = IdentityServerJwtConstants.IdentityServerJwtBearerScheme;
    options.DefaultChallengeScheme = IdentityServerJwtConstants.IdentityServerJwtBearerScheme;
})
.AddIdentityServerJwt();

2. 配置IdentityServer支持多域名 #

需要让IdentityServer同时认可两个域名的客户端请求和JWT签发，调整客户端配置和CORS规则：

调整IdentityServer客户端配置 #

services.AddIdentityServer(options =>
{
    options.Cors.CorsPolicyName = "MultiDomainCors";
    options.IssuerUri = null; // 禁用静态Issuer，自动使用当前请求的域名作为Issuer，避免跨域名Issuer不匹配
})
.AddApiAuthorization<ApplicationUser, ApplicationDbContext>(options =>
{
    // 为Angular客户端添加两个域名的回调地址
    var angularClient = options.Clients["AngularApp"];
    angularClient.RedirectUris.Add("https://website123456.azurewebsites.net/auth-callback");
    angularClient.RedirectUris.Add("https://your-custom-domain.com/auth-callback");
    angularClient.PostLogoutRedirectUris.Add("https://website123456.azurewebsites.net");
    angularClient.PostLogoutRedirectUris.Add("https://your-custom-domain.com");
})
.AddProfileService<ProfileService>();

添加多域名CORS策略 #

services.AddCors(options =>
{
    options.AddPolicy("MultiDomainCors", builder =>
        builder.WithOrigins("https://website123456.azurewebsites.net", "https://your-custom-domain.com")
               .AllowAnyHeader()
               .AllowAnyMethod()
               .AllowCredentials());
});

调整中间件顺序 #

确保CORS中间件在认证中间件之前执行，正确顺序如下：

app.UseRouting();
app.UseCors("MultiDomainCors"); // CORS必须在认证之前
app.UseAuthentication();
app.UseIdentityServer();
app.UseAuthorization();

3. 正确获取HttpContext.User #

避免在控制器构造函数中获取HttpContext.User（此时认证流程尚未完成），改用IHttpContextAccessor在Action中获取：

注册IHttpContextAccessor #

services.AddHttpContextAccessor();

在控制器中使用 #

private readonly IHttpContextAccessor _httpContextAccessor;

public YourApiController(IHttpContextAccessor httpContextAccessor)
{
    _httpContextAccessor = httpContextAccessor;
}

[Authorize]
public IActionResult YourAction()
{
    var currentUser = _httpContextAccessor.HttpContext.User;
    // 此处currentUser应包含正确的用户Claims
    return Ok(currentUser.Claims.Select(c => new { c.Type, c.Value }));
}

4. 验证JWT有效性 #

如果上述配置后仍有问题，可以在API中打印JWT内容，确认Claims是否存在：

[Authorize]
public IActionResult DebugToken()
{
    var authHeader = Request.Headers["Authorization"].ToString();
    if (!string.IsNullOrEmpty(authHeader) && authHeader.StartsWith("Bearer "))
    {
        var tokenHandler = new JwtSecurityTokenHandler();
        var jwtToken = tokenHandler.ReadJwtToken(authHeader.Substring(7));
        return Ok(jwtToken.Claims.Select(c => new { c.Type, c.Value }));
    }
    return BadRequest("Invalid token");
}

如果JWT包含正确的Claims但HttpContext.User仍为空，检查是否有自定义认证逻辑（如ProfileService）干扰了Claims的填充，确保ProfileService的GetProfileDataAsync方法正确返回用户Claims。

内容的提问来源于stack exchange，提问作者Nick Goloborodko