如何在ASP.NET 7中验证JWT Token及排查授权配置问题

一、核心排查与修复步骤 #

1. 确认公钥配置正确性 #

独立认证服务器用非对称加密签名JWT，ASP.NET必须用对应公钥完成验证。先确保公钥格式正确（PEM格式需保留首尾标记，内容完整无截断），再按如下方式加载配置：

// 示例：从字符串加载公钥，实际可从配置文件/密钥管理服务读取
var publicKey = @"-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAz...（完整公钥内容）
-----END PUBLIC KEY-----";

var rsa = RSA.Create();
rsa.ImportFromPem(publicKey.ToCharArray());

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true, // 需与认证服务器签发的iss字段完全一致
            ValidIssuer = "https://你的认证服务器域名",
            ValidateAudience = true, // 需与JWT的aud字段完全一致
            ValidAudience = "你的API受众标识",
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new RsaSecurityKey(rsa),
            ValidateLifetime = true,
            ClockSkew = TimeSpan.Zero // 关闭时钟偏差，避免过期校验误判
        };
    });

• 用JWT解析工具（如jwt.io）打开你的JWT示例，核对iss、aud、exp字段是否与配置匹配，这是401最常见的触发原因。

2. 检查请求Token传递格式 #

确保请求头的Authorization字段格式为：Bearer <你的JWT字符串>，Insomnia中需在Headers面板添加该键值对，不要将Token放在Query参数或其他位置。

3. 逐步定位验证问题（仅排查用，生产环境禁用） #

若仍返回401，可逐步关闭验证项缩小问题范围：

options.TokenValidationParameters = new TokenValidationParameters
{
    ValidateIssuer = false,
    ValidateAudience = false,
    ValidateIssuerSigningKey = true, // 此选项必须保留，否则Token无签名验证
    IssuerSigningKey = new RsaSecurityKey(rsa),
    ValidateLifetime = false,
    ClockSkew = TimeSpan.Zero
};

如果此时请求正常，说明是iss/aud/exp的配置与JWT实际字段不匹配，再逐一开启验证项并修正对应参数。

二、控制器中获取用户信息 #

验证通过后，直接通过HttpContext.User读取JWT中的Claims：

[Authorize]
[ApiController]
[Route("api/[controller]")]
public class UserDataController : ControllerBase
{
    [HttpGet("profile")]
    public IActionResult GetUserProfile()
    {
        // 获取用户唯一标识（对应JWT的sub字段）
        var userId = User.FindFirstValue(ClaimTypes.NameIdentifier);
        // 获取用户名（对应JWT的name字段）
        var userName = User.FindFirstValue(ClaimTypes.Name);
        // 获取用户角色（对应JWT的role/roles字段）
        var roles = User.Claims.Where(c => c.Type == ClaimTypes.Role).Select(c => c.Value).ToList();

        return Ok(new
        {
            UserId = userId,
            UserName = userName,
            Roles = roles
        });
    }
}

• 注意：需确保认证服务器签发的JWT包含你需要的字段（如sub、name、role等），这些字段会自动映射到User对象的Claims集合中。

三、额外排查点 #

• 检查中间件顺序：必须先注册AddAuthentication和AddAuthorization，且app.UseAuthentication()要在app.UseAuthorization()之前调用，顺序错误会导致验证逻辑不生效：

var app = builder.Build();

app.UseHttpsRedirection();

app.UseAuthentication(); // 先执行认证逻辑
app.UseAuthorization(); // 再执行授权逻辑

app.MapControllers();

app.Run();

• 检查Token是否过期：用jwt.io查看exp字段，确认当前时间在Token有效期内。
• 确认公钥与认证服务器私钥匹配：若公钥错误，签名验证失败会直接返回401。

内容的提问来源于stack exchange，提问作者Dlyx