Cookie认证配置异常：请求返回500而非Unauthorized问题排查

错误核心原因 #

你遇到的500错误本质是认证方案未正确注册，或是配置的Challenge方案不存在：

1. 初始配置中，仅设置了AddAuthentication的默认方案，但没有实际注册Cookie认证的处理程序（比如AddCookie()）；如果使用ASP.NET Core Identity，可能缺失AddIdentity的注册步骤，导致Cookie方案未被系统识别。
2. 后续配置中指定JwtBearerDefaults.AuthenticationScheme为默认Challenge方案，但你从未注册JWT认证处理程序（AddJwtBearer()），所以当需要触发Challenge逻辑时，系统找不到对应的处理方案，直接抛出异常。

正确配置方案 #

根据你的场景（纯Cookie认证或基于Identity的Cookie认证），选择对应配置：

场景1：纯Cookie认证（不使用Identity） #

// 注册认证服务，设置默认方案并添加Cookie处理逻辑
builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.Cookie.Name = "Testcookie";
        options.Cookie.HttpOnly = true;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
        options.Cookie.SameSite = SameSiteMode.Lax;
        options.Cookie.Domain = "localhost";
        options.SlidingExpiration = true;
        options.ExpireTimeSpan = TimeSpan.FromMinutes(55);
        options.Cookie.IsEssential = true;

        // 针对API场景：未认证时返回401而非跳转登录页
        options.Events = new CookieAuthenticationEvents
        {
            OnRedirectToLogin = context =>
            {
                if (context.Request.Path.StartsWithSegments("/api"))
                {
                    context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                    return Task.CompletedTask;
                }
                context.Response.Redirect(context.RedirectUri);
                return Task.CompletedTask;
            }
        };
    });

// 必须保证中间件顺序：先认证，再授权
app.UseAuthentication();
app.UseAuthorization();

场景2：基于ASP.NET Core Identity的Cookie认证 #

// 先注册Identity服务（需替换为你的DbContext和用户类型）
builder.Services.AddDefaultIdentity<IdentityUser>(options => options.SignIn.RequireConfirmedAccount = true)
    .AddEntityFrameworkStores<ApplicationDbContext>();

// 配置Identity的ApplicationCookie
builder.Services.ConfigureApplicationCookie(options =>
{
    options.Cookie.Name = "Testcookie";
    options.Cookie.HttpOnly = true;
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    options.Cookie.SameSite = SameSiteMode.Lax;
    options.Cookie.Domain = "localhost";
    options.SlidingExpiration = true;
    options.ExpireTimeSpan = TimeSpan.FromMinutes(55);
    options.Cookie.IsEssential = true;

    // API场景下修改未认证逻辑为返回401
    options.Events.OnRedirectToLogin = context =>
    {
        if (context.Request.Path.StartsWithSegments("/api"))
        {
            context.Response.StatusCode = StatusCodes.Status401Unauthorized;
            return Task.CompletedTask;
        }
        context.Response.Redirect(context.RedirectUri);
        return Task.CompletedTask;
    };
});

// 显式设置认证默认方案（Identity默认已配置，但显式声明更稳妥）
builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
});

// 中间件顺序不能错
app.UseAuthentication();
app.UseAuthorization();

关键注意点 #

• 中间件顺序：UseAuthentication必须在UseAuthorization之前，否则授权逻辑会先执行，无法识别用户身份。
• API场景适配：默认Cookie认证的Challenge行为是跳转到登录页，这适合MVC应用；如果是API接口，必须通过OnRedirectToLogin事件修改为返回401状态码，才能得到预期的Unauthorized响应。
• 方案一致性：不要配置未注册的认证方案作为DefaultChallengeScheme（比如你之前用的JwtBearer，但没注册对应的处理程序）。

内容的提问来源于stack exchange，提问作者Sha-1