ASP.NET Core设置授权策略后JWT认证返回401问题

1. 移除自定义JwtAuthMiddleware #

直接删掉代码里的app.UseMiddleware<JwtAuthMiddleware>()调用，同时删除JwtAuthMiddleware类文件。这个中间件的核心问题：

• 只解析JWT但不验证签名、有效期，存在安全漏洞
• 提前设置的context.User会被后续UseAuthentication()中间件覆盖，打乱正常认证流程

2. 完善JwtBearer认证配置 #

确保AddJwtBearer的配置完整且符合你的实际环境，示例如下：

services.AddAuthentication()
    .AddCookie(/* 保留原有Cookie配置 */)
    .AddGitHub(/* 保留原有GitHub配置 */)
    .AddJwtBearer(options =>
    {
        // 替换为你的身份提供者地址（如Auth0、Azure AD、自建IdentityServer）
        options.Authority = "https://your-identity-provider.com";
        // 替换为你的API受众标识
        options.Audience = "your-api-audience";
        
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            // 如果是自建对称密钥，取消下面注释并替换为你的密钥
            // IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-strong-secret-key"))
        };

        // 调试用：捕获认证失败信息
        options.Events = new JwtBearerEvents
        {
            OnAuthenticationFailed = context =>
            {
                Console.WriteLine($"JWT认证失败原因: {context.Exception.Message}");
                return Task.CompletedTask;
            }
        };
    })
    .AddAzureAd(/* 保留原有Azure AD配置 */);

3. 简化授权策略配置 #

你当前同时配置了FallbackPolicy和Mvc过滤器，属于重复配置，而且若"InHeader"方案未正确注册（比如API密钥认证的处理逻辑），会导致认证失败。调整如下：

// 确认每个方案都已通过AddXXX方法注册
string[] authSchemes = new string[]
{
    IdentityConstants.ApplicationScheme,
    CookieAuthenticationDefaults.AuthenticationScheme,
    GitHubAuthenticationDefaults.AuthenticationScheme,
    JwtBearerDefaults.AuthenticationScheme,
    // "InHeader" —— 若为API密钥认证，需先通过AddAuthentication().AddScheme<ApiKeyOptions, ApiKeyHandler>("InHeader", ...)完成注册
};

// 只保留FallbackPolicy，删除Mvc中的重复过滤器配置
services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder(authSchemes)
        .RequireAuthenticatedUser()
        .Build();
});

4. 修正中间件顺序 #

确保中间件执行顺序正确，这是认证生效的关键：

app.UseRouting();
app.UseAuthentication(); // 必须在UseAuthorization之前执行
app.UseAuthorization();
app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

5. 调试验证要点 #

• 携带Bearer Token请求时，查看JwtBearerEvents的日志，确认是否有验证失败的具体原因
• 断点查看UseAuthorization之前的context.User，确认JWT的Claims是否被正确填充
• 检查JWT本身的有效性：签名正确、未过期、Audience/Issuer与配置匹配

问题根源说明 #

未设置FallbackPolicy时，默认授权规则不会强制校验所有认证方案，自定义中间件设置的context.User可能被误判为已认证用户。但设置FallbackPolicy后，系统会严格检查指定的所有认证方案是否有一个成功通过——此时自定义中间件的用户身份被UseAuthentication()覆盖，同时JwtBearer因配置不全或流程问题未完成认证，最终导致所有方案都未通过，返回401。

内容的提问来源于stack exchange，提问作者hbulens