.NET 6 Web API中JWT认证结合API版本控制的401权限问题求助

1. 确认中间件注册顺序 #

.NET 6 中中间件执行顺序直接影响认证逻辑是否生效，务必确保认证相关中间件在路由之后、端点之前注册，同时正确配置API版本控制：

var builder = WebApplication.CreateBuilder(args);

// 配置API版本控制
builder.Services.AddApiVersioning(options =>
{
    options.ApiVersionReader = new HeaderApiVersionReader("api-version");
    options.AssumeDefaultVersionWhenUnspecified = true;
    options.ReportApiVersions = true;
    options.DefaultApiVersion = new ApiVersion(1, 0);
});

// 配置JWT认证服务
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
        };
    });

var app = builder.Build();

// 严格遵循中间件顺序：路由 → 认证 → 授权 → 端点
app.UseRouting();

app.UseAuthentication(); // 必须在UseRouting之后、UseAuthorization之前
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

app.Run();

2. 检查2.0版本控制器的属性配置 #

确保2.0版本控制器的路由结构和认证属性与1.0版本保持一致，避免因配置差异导致认证失效：

1.0版本控制器示例： #

[ApiController]
[ApiVersion("1.0")]
[Route("api/[controller]")]
[Authorize]
public class TestController : ControllerBase
{
    [HttpGet]
    public IActionResult GetV1()
    {
        return Ok($"V1: {User.Identity.Name}");
    }
}

2.0版本控制器示例： #

[ApiController]
[ApiVersion("2.0")]
[Route("api/[controller]")] // 与1.0路由模板一致，通过请求头区分版本
[Authorize] // 必须添加该属性，否则不会触发JWT认证逻辑
public class TestController : ControllerBase
{
    [HttpGet]
    public IActionResult GetV2()
    {
        return Ok($"V2: {User.Identity.Name}");
    }
}

若使用路由参数指定版本（如api/v{version:apiVersion}/[controller]），也需保证两个版本控制器的路由模板完全一致，仅ApiVersion属性不同。

3. 排查JWT验证参数配置 #

检查TokenValidationParameters是否存在版本相关的限制，比如ValidAudience或ValidIssuer是否与2.0版本API不匹配。若需要支持多版本受众，可配置多个有效受众：

options.TokenValidationParameters = new TokenValidationParameters
{
    // 其他配置...
    ValidAudiences = new[] { "api-v1", "api-v2" } // 添加适配多版本的受众列表
};

4. 验证请求与Token有效性 #

• 确认请求同时携带api-version: 2.0和Authorization: Bearer {token}两个请求头
• 使用JWT解码工具验证Token的aud（受众）、iss（签发者）、exp（过期时间）等字段是否符合后端配置

5. 检查版本匹配与路由冲突 #

开启ReportApiVersions选项后，可通过响应头的api-supported-versions字段确认2.0版本是否被正确识别，排查请求是否被路由到错误的控制器：

builder.Services.AddApiVersioning(options =>
{
    options.ReportApiVersions = true;
    // 其他配置...
});

内容的提问来源于stack exchange，提问作者Lorenzo Soncini