ASP.NET Core(.NET 6)JWT认证下匿名接口401错误求助

以下是针对你遇到的401错误的排查和解决步骤：

• 检查控制器是否继承基类
  你的ScheduleController没有继承ControllerBase或Controller，ASP.NET Core MVC框架需要控制器继承这些基类才能正确识别并应用[AllowAnonymous]这类特性。修改代码如下：

  [AllowAnonymous]
  public class ScheduleController : ControllerBase
  {
      [HttpGet]
      public IActionResult Week()
      {
          //...
      }
  }
  

• 确认中间件顺序是否正确
  在Program.cs中，认证与授权中间件的调用顺序必须严格遵循：先执行UseAuthentication()，再执行UseAuthorization()，且两者都要放在MapControllers()之前。正确的中间件配置顺序示例：

  app.UseHttpsRedirection();
  
  // 先处理认证，再处理授权
  app.UseAuthentication();
  app.UseAuthorization();
  
  app.MapControllers();
  

  若顺序颠倒，授权逻辑会在认证流程前执行，导致AllowAnonymous无法正常生效。

• 检查是否存在全局授权过滤器
  如果你在全局范围内添加了强制认证的过滤器，比如：

  builder.Services.AddControllers(options =>
  {
      var policy = new AuthorizationPolicyBuilder()
          .RequireAuthenticatedUser()
          .Build();
      options.Filters.Add(new AuthorizeFilter(policy));
  });
  

  需确认[AllowAnonymous]特性能够覆盖全局策略——ASP.NET Core中[AllowAnonymous]会跳过AuthorizeFilter，但如果存在自定义授权逻辑冲突，需要针对性调整。

• 排除JWT配置的非直接干扰
  虽然这不是AllowAnonymous失效的直接原因，但你配置的ClockSkew与令牌过期时长相同（TimeSpan.FromMinutes(Convert.ToDouble(_expirtyMinutes))），可能导致令牌刚过期就被拒绝，但这仅影响需要认证的接口。匿名接口返回401时，优先排查前面三点。

内容的提问来源于stack exchange，提问作者Timothy