.NET Core 3.1中过期JWT令牌引发401错误的原因咨询

这个问题我之前帮同事排查过类似的，核心原因其实是.NET Core JWT认证中间件的默认行为加上你的配置细节导致的，我给你拆解下：

为什么没加[Authorize]也会返回401？ #

• 认证中间件的"主动验证"特性：不管你的接口有没有标记[Authorize]属性，只要请求头里携带了JWT令牌，JWT认证中间件就会自动尝试解析并验证这个令牌。这是中间件的默认逻辑——它不会判断接口是否需要授权，只要看到令牌就会执行验证流程。
• OnAuthenticationFailed事件的终止逻辑：你提到在这个事件里捕获了错误，大概率是你在事件处理代码里直接设置了响应状态码为401，并且没有让请求继续往下走。比如类似这样的代码：

  options.Events = new JwtBearerEvents
  {
      OnAuthenticationFailed = context =>
      {
          context.Response.StatusCode = StatusCodes.Status401Unauthorized;
          // 如果这里直接返回Task.CompletedTask，请求管道就会在这里终止
          return Task.CompletedTask;
      }
  };
  

  这种情况下，只要令牌验证失败（比如过期），请求就会在到达路由中间件前被截断，直接返回401。
• 全局默认认证方案的影响：如果你在AddAuthentication时设置了DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme，那么认证中间件会对所有请求强制执行认证流程，不管接口是否需要授权。这相当于给所有请求都加上了隐式的认证要求。

怎么解决这个问题？ #

根据你的需求，我给你几个可行的方案：

1. 调整OnAuthenticationFailed事件的处理逻辑 #

不要在验证失败时直接返回401，而是只记录错误日志，让请求继续流向路由和接口方法。只有当接口带有[Authorize]属性时，授权中间件才会返回401。修改后的代码示例：

options.Events = new JwtBearerEvents
{
    OnAuthenticationFailed = context =>
    {
        // 只记录错误，不终止请求管道
        _logger.LogError(context.Exception, "JWT令牌验证失败");
        return Task.CompletedTask;
    }
};

2. 取消全局自动认证 #

如果不需要所有请求都执行认证流程，可以不设置DefaultAuthenticateScheme，而是在需要授权的接口上明确指定认证方案：

// Startup.cs里的配置
services.AddAuthentication()
    .AddJwtBearer(JwtBearerDefaults.AuthenticationScheme, options =>
    {
        // 你的JWT配置
    });

// 需要授权的接口上标记
[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
public IActionResult SecureEndpoint()
{
    // ...
}

这样，只有带[Authorize]的接口才会触发JWT认证，其他接口即使携带过期令牌，也不会被拦截。

3. 按路由分支处理认证 #

如果你的接口可以按路由区分是否需要认证，可以使用中间件分支，只对特定路由启用认证授权：

// Startup.cs的Configure方法
app.UseRouting();

// 只对/api/secure开头的路由启用认证授权
app.UseWhen(context => context.Request.Path.StartsWithSegments("/api/secure"), appBuilder =>
{
    appBuilder.UseAuthentication();
    appBuilder.UseAuthorization();
});

app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

这种方式更灵活，能精准控制哪些请求需要经过认证流程。

内容的提问来源于stack exchange，提问作者m.taran