登录后设置Authorization Header跳转至PostLogin方法无法获取Token及认证方案异常问题求助

看起来你踩了两个ASP.NET认证里的常见坑：一是把Token只绑定在了HttpClient实例上，和HttpContext的认证系统完全脱节；二是没有正确配置全局的认证方案。咱们一步步来搞定：

1. 先解决「认证方案未指定」的异常 #

这个错误是因为你的项目没配置默认认证策略，ASP.NET不知道该用哪种方式处理用户身份验证。根据你的Web应用场景，推荐二选一：Cookie认证（浏览器自动携带，省心）或JWT认证（适合需要调用外部API的场景）。

如果你用.NET 6+（Program.cs）： #

选项A：Cookie认证（Web应用首选）

// 添加认证服务，指定Cookie为默认方案
builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.LoginPath = "/Account/Index"; // 未登录时跳转的登录页面
        options.ExpireTimeSpan = TimeSpan.FromHours(1); // 登录会话有效期
        options.SlidingExpiration = true; // 用户活动时自动延长有效期
    });

// 注意中间件顺序：要放在UseRouting之后，UseAuthorization之前
app.UseAuthentication();
app.UseAuthorization();

选项B：JWT认证（适配API调用场景）

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = "你的API发行方", // 要和登录API返回Token的Issuer一致
            ValidAudience = "你的API受众",
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("你的API密钥"))
        };
    });

// 同样要按顺序添加中间件
app.UseAuthentication();
app.UseAuthorization();

老版本ASP.NET Core（Startup.cs）： #

在ConfigureServices方法中添加上述认证配置，然后在Configure方法里注册UseAuthentication和UseAuthorization中间件，逻辑和上面一致，只是写法略有差异。

2. 修复登录后Token无法传递到PostLogin的问题 #

你现在的做法是把Token设置给了client这个HttpClient实例的请求头，但这只对这个特定的HttpClient有效，和当前用户的HttpContext认证会话完全无关。HttpContext.GetTokenAsync是从ASP.NET的认证系统里拿Token，所以得把Token存到认证系统中。

修改登录方法（Index）： #

public async Task<ActionResult> Index(LoginModel loginModel)
{
    string url = "API_URL";
    var response = await client.PostAsJsonAsync(url, loginModel);

    if (response.IsSuccessStatusCode)
    {
        string result = await response.Content.ReadAsStringAsync();
        var jsonData = JObject.Parse(result);
        var accessToken = jsonData["accessToken"].ToString();

        // 1. 创建用户身份凭证（Claims），可添加用户名、ID等信息
        var claims = new List<Claim>
        {
            new Claim(ClaimTypes.Name, loginModel.Username), // 用登录的用户名
            new Claim("accessToken", accessToken) // 把Token存到Claim里
        };

        // 2. 创建身份标识，指定咱们之前配置的认证方案（Cookie/JWT二选一）
        var identity = new ClaimsIdentity(
            claims,
            CookieAuthenticationDefaults.AuthenticationScheme); // 用JWT就换成JwtBearerDefaults.AuthenticationScheme

        // 3. 配置认证会话属性（过期时间、是否持久化等）
        var authProps = new AuthenticationProperties
        {
            ExpiresUtc = DateTimeOffset.UtcNow.AddHours(1),
            IsPersistent = false, // 要记住登录就设为true
            // 可选：把Token存到Tokens字典，方便用GetTokenAsync获取
            Tokens = new Dictionary<string, string>
            {
                { "accessToken", accessToken }
            }
        };

        // 4. 执行登录，把用户身份写入HttpContext
        await HttpContext.SignInAsync(
            CookieAuthenticationDefaults.AuthenticationScheme, // 对应你的认证方案
            new ClaimsPrincipal(identity),
            authProps);

        // 如果需要让HttpClient默认携带Token，继续保留这行，但这和HttpContext无关
        client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);

        return RedirectToAction("PostLogin");
    }
    else
    {
        ModelState.AddModelError("", "These credentials does not work. Hmm..");
    }
    return View(loginModel);
}

修改PostLogin方法获取Token： #

现在有两种可靠方式拿到Token：

public async Task<ActionResult> PostLogin()
{
    // 方式1：从当前用户的Claim里直接读取
    var accessToken = HttpContext.User.FindFirst("accessToken")?.Value;

    // 方式2：用GetTokenAsync，需要指定对应的认证方案
    var accessToken = await HttpContext.GetTokenAsync(
        CookieAuthenticationDefaults.AuthenticationScheme, // 对应你的认证方案
        "accessToken");

    return View();
}

额外提醒 #

• 用Cookie认证时，浏览器会自动在后续请求中携带Cookie，无需手动处理请求头；用JWT的话，后续调用API需要从HttpContext拿到Token，再手动加到请求头里。
• 认证中间件的顺序绝对不能错：UseAuthentication必须在UseAuthorization之前，否则授权逻辑无法识别用户身份。

内容的提问来源于stack exchange，提问作者Sami In