使用Episerver Content Management API时遭遇401 Unauthorized问题求助

问题分析 #

Content Delivery API默认允许匿名访问，但Content Management API（用于内容增删改）默认强制要求身份验证。你设置的DisableScopeValidation = true仅跳过权限范围检查（比如用户是否有编辑内容的权限），但并未关闭身份验证本身，这是导致401错误的核心原因。

完整配置方案（测试环境） #

如果是测试场景需要匿名调用API，按以下步骤修改Startup.cs：

1. 添加匿名认证服务
   在ConfigureServices中添加匿名认证支持：

   services.AddAuthentication()
       .AddAnonymous();
   

2. 配置Content Management API允许匿名
   修改API配置，指定授权策略为允许匿名：

   services.AddContentManagementApi(options =>
   {
       options.DisableScopeValidation = true;
       options.AuthorizationPolicy = "AllowAnonymous";
   });
   
   services.ConfigureContentApiOptions(options =>
   {
       options.FlattenPropertyModel = true;
   });
   

3. 定义允许匿名的授权策略
   同样在ConfigureServices中添加：

   services.AddAuthorization(options =>
   {
       options.AddPolicy("AllowAnonymous", policy =>
       {
           policy.RequireAssertion(context => true);
       });
   });
   

4. 启用认证与授权中间件
   在Configure方法中确保中间件顺序正确：

   app.UseAuthentication();
   app.UseAuthorization();
   
   // 后续添加路由等中间件
   app.UseEndpoints(endpoints =>
   {
       endpoints.MapControllers();
   });
   

生产环境注意事项 #

测试环境的匿名配置切勿用于生产，建议使用Optimizely官方支持的认证方式：

• 使用后台管理员账户的Cookie认证（适合后台发起的调用）
• 配置OAuth2客户端凭证认证（适合服务端调用）

验证 #

配置完成后重新启动项目，调用Content Management API的GET接口应返回200状态码，后续可测试内容更新/插入接口确认功能正常。

内容的提问来源于stack exchange，提问作者Max Manh