Asp.net Core API使用策略授权时返回404问题排查

核心问题分析 #

你遇到的情况是：使用[Authorize(Policy = "Admin")]时返回404，但[Authorize(AuthenticationSchemes = "Bearer")]和[Authorize(Roles = "Admin")]正常工作。这大概率是策略声明匹配错误或中间件流程异常导致的授权失败，而非真正的路由不存在（404是表象）。

具体解决步骤 #

1. 修正策略的声明类型匹配（最常见原因） #

[Authorize(Roles = "Admin")]生效，说明你的JWT令牌中携带的是标准角色声明（类型为ClaimTypes.Role，对应官方标识：http://schemas.microsoft.com/ws/2008/06/identity/claims/role），但你的策略要求的是自定义的"RoleType"声明，两者不匹配导致授权失败。

修改策略代码，使用标准角色声明：

services.AddAuthorization(options =>
{
    options.AddPolicy("Admin", policy =>
    {
        policy.RequireClaim(ClaimTypes.Role, "Admin");
    });
});

如果你确实需要使用自定义"RoleType"声明，必须确保生成JWT时，添加的Claim类型是"RoleType"，而非ClaimTypes.Role。

2. 为策略明确指定认证方案 #

虽然你已将Bearer设为默认认证方案，部分场景下仍需为策略显式指定认证类型，避免认证流程异常：

services.AddAuthorization(options =>
{
    options.AddPolicy("Admin", policy =>
    {
        // 明确指定使用Bearer认证
        policy.AuthenticationSchemes.Add(JwtBearerDefaults.AuthenticationScheme);
        // 根据实际声明类型调整
        policy.RequireClaim(ClaimTypes.Role, "Admin");
    });
});

3. 检查中间件顺序 #

确保Configure方法中的中间件顺序正确，认证必须在授权之前执行：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 先添加异常处理、静态文件等中间件

    app.UseAuthentication(); // 认证中间件在前
    app.UseAuthorization();  // 授权中间件在后

    app.UseControllers();    // 控制器中间件放在授权之后
}

如果顺序颠倒，授权逻辑无法获取用户认证信息，会导致非预期的404错误。

4. 验证令牌中的声明内容 #

可以临时添加一个调试接口，查看当前用户的Claims详情，确认是否存在预期的声明：

[Authorize(AuthenticationSchemes = "Bearer")]
[HttpGet("check-claims")]
public IActionResult CheckUserClaims()
{
    var userClaims = User.Claims.Select(c => new { 声明类型 = c.Type, 声明值 = c.Value });
    return Ok(userClaims);
}

调用该接口后，检查返回的列表中是否存在声明类型为"RoleType"（或ClaimTypes.Role）且声明值为"Admin"的项。

内容的提问来源于stack exchange，提问作者Hasan Abdul Ghaffar