ASP.NET Core中JWT Cookie认证下[Authorize]标签使用求助

[Authorize]标签工作原理 #

[Authorize]是ASP.NET Core的授权过滤器，核心逻辑是：

• 拦截请求后先触发认证流程：检查HttpContext.User是否持有合法身份信息
• 若未认证，会触发**Challenge（挑战）**行为：默认对Cookie认证跳转登录页，对JWT Bearer返回401
• 认证通过后，再校验用户是否满足角色、策略等授权要求

你的问题根源在于：配置了JWT Bearer认证，但JWT Bearer默认从Authorization: Bearer {token}请求头读取Token，而你的Token存在Cookie中，中间件找不到有效Token，因此触发Challenge跳转到默认登录页。

正确配置步骤 #

1. 修改JWT Bearer配置，从Cookie读取Token #

在AddJwtBearer中通过Events指定从Cookie提取Token，同时可调整Challenge行为避免跳转登录页：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        // 直接使用构造函数注入的_config，无需重复构建配置
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = _config["Jwt:Issuer"],
            ValidAudience = _config["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["Jwt:Key"]))
        };

        // 从Cookie读取JWT Token（替换为你实际的Cookie名称）
        options.Events = new JwtBearerEvents
        {
            OnMessageReceived = context =>
            {
                context.Token = context.Request.Cookies["JwtToken"];
                return Task.CompletedTask;
            },
            // 取消默认跳转，返回401JSON响应（按需调整）
            OnChallenge = context =>
            {
                context.HandleResponse();
                context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                context.Response.ContentType = "application/json";
                return context.Response.WriteAsync(System.Text.Json.JsonSerializer.Serialize(
                    new { status = false, message = "未授权，请重新登录" }
                ));
            }
        };
    });

2. 移除手动ValidateToken方法 #

配置完成后，[Authorize]标签会自动触发框架的JWT验证流程，无需再手动调用ValidateToken。框架的认证逻辑会复用你配置的TokenValidationParameters，和你手动写的验证逻辑一致。

3. 确认中间件顺序 #

确保中间件顺序正确，认证必须在授权之前执行：

app.UseRouting();
app.UseAuthentication(); // 先执行认证
app.UseAuthorization(); // 再执行授权
app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
    endpoints.MapRazorPages();
});

额外注意事项 #

• 登录时需正确将Token写入Cookie，示例代码：

  // 登录成功生成Token后
  var token = GenerateJwtToken(...);
  Response.Cookies.Append("JwtToken", token, new CookieOptions
  {
      HttpOnly = true, // 防止XSS攻击
      Secure = !env.IsDevelopment(), // 生产环境强制HTTPS
      Expires = DateTime.UtcNow.AddHours(2), // 与Token过期时间保持一致
      SameSite = SameSiteMode.Strict
  });
  

• 若项目是Razor Pages/MVC，可根据业务需求调整Challenge行为，如需跳转登录页则移除OnChallenge配置。

内容的提问来源于stack exchange，提问作者Yan Soo