ABP v6.0.1中OpenIddict获取的token无效引发401问题求助

以下是逐步排查和解决的具体步骤：

1. 确认请求头格式完全正确 #

请求接口时，Authorization头必须严格遵循格式：

Authorization: Bearer {你的access_token}

• 注意Bearer后面必须跟一个空格，再拼接token；
• 检查Apifox或Vue请求中是否正确添加了这个头，避免拼写错误（比如把Bearer写成Bear或其他）。

2. 验证Token的受众（Audience）匹配 #

ABP默认API的受众是项目名称+API（比如项目叫BookStore，受众就是BookStoreAPI）。解析你的access_token，查看aud字段：

• 如果token里的aud和API配置的受众不匹配，API会直接返回401；
• 查看项目Host项目的ConfigureServices方法，确认OpenIddict的受众配置：

  services.AddOpenIddict()
      .AddValidation(options =>
      {
          options.AddAudiences("BookStoreAPI"); // 这里要和token的aud一致
          // 其他配置...
      });
  

3. 确保获取Token时指定了正确的Scope #

调用/connect/token接口时，必须在scope参数里包含API的scope（比如BookStoreAPI），否则token没有访问API的权限：
示例请求参数（x-www-form-urlencoded格式）：

grant_type=password&username=admin&password=1q2w3E*&client_id=BookStore_App&client_secret=1q2w3E*&scope=BookStoreAPI offline_access

• 如果scope里没包含API对应的标识，即使拿到token，也无法访问受保护的API。

4. 检查API的授权中间件顺序 #

在Host项目的Configure方法里，中间件顺序必须正确：

app.UseRouting();
app.UseCors(); // CORS必须在Authorization之前
app.UseAuthentication(); // 认证必须在授权之前
app.UseAuthorization();
app.UseSwagger();
// 其他中间件...

• 如果中间件顺序错误，比如UseAuthorization在UseAuthentication之前，会导致token无法被正确解析验证。

5. 排查CORS配置问题 #

如果Vue项目和API不在同一域名，确保CORS配置允许携带Authorization头：
在ConfigureServices里的CORS配置：

services.AddCors(options =>
{
    options.AddPolicy("MyCorsPolicy", policy =>
    {
        policy.WithOrigins("http://localhost:5173") // Vue项目的地址
              .AllowAnyHeader() // 允许所有头，包括Authorization
              .AllowAnyMethod()
              .AllowCredentials();
    });
});

然后在Configure里启用：

app.UseCors("MyCorsPolicy");

• 如果CORS没配置允许自定义头，浏览器会拦截Authorization头，导致API收不到token，返回401。

6. 检查Token是否过期 #

解析token查看exp字段（Unix时间戳），转换为本地时间确认是否过期。测试时可以调整token过期时间（在OpenIddict配置里修改AccessTokenLifetime），避免因过期导致的401：

services.AddOpenIddict()
    .AddServer(options =>
    {
        options.SetAccessTokenLifetime(TimeSpan.FromHours(2)); // 延长过期时间用于测试
        // 其他配置...
    });

内容的提问来源于stack exchange，提问作者user20517893