.NET 6自定义认证Handler处理后httpContext.User未更新问题求助

你的问题核心是自定义认证Handler没有返回标准的认证成功结果，.NET认证框架不会自动同步你设置的ClaimsPrincipal，必须通过返回AuthenticateResult.Success(new AuthenticationTicket(...))来告知框架认证完成，框架才会自动更新HttpContext.User并将身份信息传递到授权上下文。

正确的自定义Bearer Handler实现要点 #

在HandleAuthenticateAsync方法中，验证Token成功后，需要：

• 创建包含ClaimsPrincipal的AuthenticationTicket，指定当前的认证方案名称
• 返回AuthenticateResult.Success(ticket)，而非仅修改TokenValidationContext

示例代码：

protected override async Task<AuthenticateResult> HandleAuthenticateAsync()
{
    // 1. 从请求头提取Token（逻辑和JwtBearerHandler一致）
    string token = null;
    var authorizationHeader = Request.Headers.Authorization.ToString();
    if (!string.IsNullOrEmpty(authorizationHeader) && authorizationHeader.StartsWith("Bearer ", StringComparison.OrdinalIgnoreCase))
    {
        token = authorizationHeader.Substring("Bearer ".Length).Trim();
    }

    if (string.IsNullOrEmpty(token))
    {
        return AuthenticateResult.NoResult();
    }

    try
    {
        // 2. 执行自定义Token验证逻辑，生成ClaimsPrincipal
        var claimsPrincipal = ValidateCustomToken(token); // 替换为你的验证逻辑

        // 3. 创建AuthenticationTicket，关联当前认证方案
        var ticket = new AuthenticationTicket(claimsPrincipal, Scheme.Name);

        // 4. 返回成功结果，框架自动同步到HttpContext.User
        return AuthenticateResult.Success(ticket);
    }
    catch (Exception ex)
    {
        return AuthenticateResult.Fail(ex.Message);
    }
}

认证方案配置注意事项 #

确保在Program.cs中正确注册自定义方案，并按需指定认证方案集合：

builder.Services.AddAuthentication(options =>
{
    // 若需默认适配多方案，可设置CompositeScheme，或在Authorize特性中明确指定
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(JwtBearerDefaults.AuthenticationScheme, options =>
{
    // 标准OIDC配置
    options.Authority = "your-oidc-authority";
    options.Audience = "your-audience";
})
.AddScheme<CustomBearerOptions, CustomBearerHandler>("CustomBearer", options =>
{
    // 自定义方案的配置参数
});

在需要支持双认证的接口上，通过特性指定多个认证方案：

[Authorize(AuthenticationSchemes = "CustomBearer," + JwtBearerDefaults.AuthenticationScheme)]
[HttpGet("protected")]
public IActionResult GetProtectedData()
{
    // 此时HttpContext.User会包含任一认证方案通过后的身份信息
    return Ok(User.Claims.Select(c => new { c.Type, c.Value }));
}

为什么JwtBearerHandler不需要直接修改HttpContext.User #

JwtBearerHandler的父类AuthenticationHandler<T>会处理认证结果的后续流程：当你返回AuthenticateResult.Success时，认证中间件会自动将Ticket中的ClaimsPrincipal同步到HttpContext.User，并将认证信息存入HttpContext.AuthenticateAsync()的结果中，授权Handler就能从上下文获取到用户信息。

内容的提问来源于stack exchange，提问作者askids