生产环境Ajax请求报401错误，本地运行正常求助

• 认证凭证传递检查

  • 对比本地与生产请求的Cookie或Authorization头：确认生产环境中认证相关的Cookie（如.AspNetCore.Identity.Application）或Token在401请求中是否缺失、过期。检查Cookie的路径、域配置，IIS站点绑定的域名/路径可能导致Cookie无法正确携带。
  • 核对IIS身份验证模块：确保未启用与应用认证逻辑冲突的模块（如Windows认证），同时确认ASP.NET Core的认证中间件（AddIdentity/AddJwtBearer等）配置与本地一致。

• IIS转发与会话配置

  • 若使用ARR或反向代理，检查ForwardedHeadersOptions配置：确保.NET Core能正确识别X-Forwarded-For、X-Forwarded-Proto等头，避免认证逻辑因请求来源误判而拒绝请求。
  • 检查会话存储：若生产环境使用分布式缓存（如Redis）而非本地内存，排查会话同步是否存在延迟，这可能导致随机的认证状态丢失。

• 请求头差异针对性分析

  • 排查Cookie头大小：IIS默认Cookie大小限制比Kestrel严格，过大的Cookie会被丢弃，直接导致认证失效。
  • 校验Referer、User-Agent等头：生产环境的代理/CDN可能修改这些头，若应用认证逻辑包含来源校验，可能触发拦截。
  • 查看Cache-Control配置：生产环境的缓存策略可能导致请求携带过期的认证凭证，引发随机401。

• 日志追踪定位

  • 开启.NET Core认证详细日志：在appsettings.json中设置：

    "Logging": {
      "LogLevel": {
        "Microsoft.AspNetCore.Authentication": "Debug"
      }
    }
    

    捕获401发生时的具体失败原因，如凭证过期、签名无效等。
  • 启用IIS失败请求跟踪：追踪请求从IIS到应用的完整流程，确定是IIS模块拦截还是应用认证中间件返回401。

• 其他潜在问题

  • 服务器时间同步：若使用JWT认证，服务器与客户端时间差过大可能导致Token被误判为过期，引发随机401。
  • 应用池回收策略：IIS应用池回收会清空内存会话，若认证依赖内存会话，回收后会出现401，可核对回收时间点与错误发生时间的关联。

内容的提问来源于stack exchange，提问作者Lucas Hoffmann