Asp.net Core WebAPI集成Identity时默认启用Auth0认证并禁用Account/Login跳转

问题原因 #

集成Asp.net Core Identity时，AddIdentity/AddIdentityCore会自动将默认认证、挑战方案设置为Identity的Cookie方案（IdentityConstants.ApplicationScheme），覆盖你之前配置的JwtBearer默认方案，导致[Authorize]默认触发Identity的登录跳转。

解决步骤 #

1. 调整认证服务配置顺序与默认方案 #

在配置服务时，先添加Identity服务，再显式配置Authentication并将默认方案设为JwtBearer，确保覆盖Identity的自动设置：

// 添加Identity服务
services.AddIdentity<ApplicationUser, IdentityRole>(options =>
{
    // 可配置Identity选项（如密码规则等）
})
.AddEntityFrameworkStores<ApplicationDbContext>()
.AddDefaultTokenProviders();

// 配置认证，设置默认方案为JwtBearer
services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
    // 保留Identity外部登录方案（可选，若需要Identity的第三方登录功能）
    options.DefaultSignInScheme = IdentityConstants.ExternalScheme;
})
.AddJwtBearer(options =>
{
    options.Authority = "https://xxxxxx.uk.auth0.com";
    options.Audience = "xxxxx";
});

2. 配置JwtBearer挑战行为，阻止跳转 #

WebAPI场景下需返回401而非跳转页面，通过JwtBearer事件覆盖默认挑战逻辑：

.AddJwtBearer(options =>
{
    options.Authority = "https://xxxxxx.uk.auth0.com";
    options.Audience = "xxxxx";
    
    options.Events = new JwtBearerEvents
    {
        OnChallenge = context =>
        {
            // 阻止默认跳转行为
            context.HandleResponse();
            context.Response.StatusCode = StatusCodes.Status401Unauthorized;
            context.Response.ContentType = "application/json";
            
            return context.Response.WriteAsync(System.Text.Json.JsonSerializer.Serialize(new
            {
                error = "Unauthorized",
                message = "无效或缺失的Token"
            }));
        }
    };
});

3. 确保中间件顺序正确 #

在Configure（.NET 5及以前）或Program.cs（.NET 6+）中，中间件顺序必须遵循：

app.UseHttpsRedirection();

// 认证中间件必须在授权中间件之前
app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();

4. 按需使用Identity认证 #

若某些接口需使用Identity的Cookie认证，可在[Authorize]特性中指定Scheme：

[Authorize(AuthenticationSchemes = IdentityConstants.ApplicationScheme)]
public IActionResult AdminDashboard()
{
    // 逻辑代码
}

内容的提问来源于stack exchange，提问作者Nithin