.NET 7极简API+MAUI无JWT认证可行性及JWT请求失败问询

一、替代方案的可行性与安全性分析 #

可行性 #

技术上完全可行，只要客户端每次请求携带加密后的账号密码，服务端完成验证逻辑即可返回数据。但需确保传输过程中使用HTTPS，且密码采用不可逆加密（如哈希加盐）传输，避免明文泄露。

安全性对比（远低于JWT） #

• 敏感信息暴露风险更高：每次请求都传输账号密码，即使加密，被拦截或窃取的概率远高于JWT（JWT仅在登录阶段传输一次，后续用令牌请求）。
• 权限控制灵活性差：JWT可携带用户角色、权限等信息，服务端无需每次查询数据库验证权限；而该方案需每次验证账号密码，无法实现细粒度权限控制。
• 无令牌过期机制：JWT可设置过期时间，一旦泄露可限制风险范围；该方案若账号密码泄露，攻击者可无限期发起请求，直到密码被修改。
• 密码复用风险：用户通常复用密码，若该方案被破解，可能影响用户其他平台的账号安全。

二、MAUI客户端JWT请求401未授权问题解决 #

核心问题排查与修复 #

1. 服务端缺失认证中间件调用

你的.NET 7极简API中，仅通过builder.Services.AddAuthentication()注册了认证服务，但未在中间件管道中启用认证，导致[Authorize]注解无法生效。同时中间件顺序错误，需调整为正确顺序：

var app = builder.Build();

if (app.Environment.IsDevelopment())
{
    app.UseSwagger();
    app.UseSwaggerUI();
}

app.UseHttpsRedirection();

// 启用认证中间件，必须在授权中间件之前
app.UseAuthentication();
app.UseAuthorization();

// 映射所有API端点
app.MapGet("/api/test", [AllowAnonymous] () => "Hello you!");
app.MapGet("/secret2", [Authorize] () => $"Hello You. This is a secret!!!");
app.MapPost("/security/createToken", [AllowAnonymous] (User user) =>
{
    // 原Token生成逻辑
});

app.Run();

2. Token生成的时区问题

生成Token时使用DateTime.Now会导致时区差异，可能使令牌提前过期，改为DateTime.UtcNow确保跨时区一致性：

var tokeOptions = new JwtSecurityToken(
    issuer: "https://api.mysite.com:64591",
    audience: "https://api.mysite.com:64591",
    claims: claims,
    expires: DateTime.UtcNow.AddMinutes(50), // 修正为UtcNow
    signingCredentials: signinCredentials
);

3. MAUI客户端Token格式验证

确保从接口获取的Token没有多余的引号或空格，例如解析JSON响应时去除字符串首尾的双引号：

// 示例：获取Token的正确方式
var loginUser = new User { UserName = "user", Password = "123" };
var tokenResponse = await httpClient.PostAsJsonAsync("https://api.mysite.com/security/createToken", loginUser);
tokenResponse.EnsureSuccessStatusCode();
var tokenString = await tokenResponse.Content.ReadAsStringAsync();
// 移除可能存在的双引号
tokenString = tokenString.Trim('"');

4. 验证MAUI请求头的正确性

调试时确认Authorization头的格式是否正确，确保Bearer与Token之间有空格，且Token完整无截断：

var requestMessage = new HttpRequestMessage
{
    Method = HttpMethod.Get,
    RequestUri = new Uri(@"https://api.mysite.com/secret2")
};
// 调试输出Token确认
System.Diagnostics.Debug.WriteLine($"使用的Token: {tokenString}");
requestMessage.Headers.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", tokenString);
var response = await httpClient.SendAsync(requestMessage);

内容的提问来源于stack exchange，提问作者user20081580