多OAuth2Introspection令牌验证：单验证通过时忽略失败日志

当前方案的问题与可行性分析 #

你当前的配置并未实现“任一客户端验证通过即允许请求”的需求，核心问题在于：

• JWT Bearer验证仅处理JWT格式令牌，引用令牌被转发到introspection1方案，但introspection2完全没参与验证流程，相当于只有两条验证路径：JWT验证 / 引用令牌走introspection1验证，introspection2是闲置状态。
• 现有逻辑无法实现多方案并行验证，自然也做不到“任一通过即放行”的设计。

如果不修正这个核心问题，当前方案只能覆盖部分验证场景，不符合你的预期需求。

正确实现多方案验证的配置 #

要实现多个验证方案任一通过的逻辑，推荐使用授权策略（Policy）+ 自定义断言的方式，组合所有验证方案并控制验证流程：

services
    .AddFunctionsAuthentication(options => 
    {
        options.DefaultAuthenticateScheme = "MultiValidationPolicy";
        options.DefaultChallengeScheme = "MultiValidationPolicy";
    })
    // JWT验证方案
    .AddJwtBearer("JwtScheme", options => 
    {
        options.TokenValidationParameters.ValidAudiences = new[] { "Audience1", "Audience2" };
        options.Authority = Appsettings.AuthIdentityUrl;
        options.TokenValidationParameters.ValidTypes = new[] { "at+jwt", "JWT" };
        
        // 关闭该方案的失败日志，统一在策略层处理
        options.Events = new JwtBearerEvents
        {
            OnAuthenticationFailed = context =>
            {
                context.HandleResponse();
                return Task.CompletedTask;
            }
        };
    })
    // 第一个OAuth2 introspection方案
    .AddOAuth2Introspection("introspection1", options => 
    {
        options.Authority = Appsettings.AuthIdentityUrl;
        options.ClientId = AppSettings.AuthClientId1;
        options.ClientSecret = AppSettings.AuthClientSecret1;
        
        options.Events = new OAuth2IntrospectionEvents
        {
            OnAuthenticationFailed = context =>
            {
                context.HandleResponse();
                return Task.CompletedTask;
            }
        };
    })
    // 第二个OAuth2 introspection方案
    .AddOAuth2Introspection("introspection2", options => 
    {
        options.Authority = Appsettings.AuthIdentityUrl;
        options.ClientId = AppSettings.AuthClientId2;
        options.ClientSecret = AppSettings.AuthClientSecret2;
        
        options.Events = new OAuth2IntrospectionEvents
        {
            OnAuthenticationFailed = context =>
            {
                context.HandleResponse();
                return Task.CompletedTask;
            }
        };
    })
    // 添加自定义授权策略
    .AddAuthorization(options =>
    {
        options.AddPolicy("MultiValidationPolicy", policy =>
        {
            policy.RequireAssertion(async context =>
            {
                var logger = context.HttpContext.RequestServices.GetRequiredService<ILogger<Program>>(); // 替换为你的类名
                var validationSchemes = new[] { "JwtScheme", "introspection1", "introspection2" };
                bool hasValidScheme = false;
                var failureExceptions = new List<Exception>();

                // 逐个尝试所有验证方案
                foreach (var scheme in validationSchemes)
                {
                    var authResult = await context.HttpContext.AuthenticateAsync(scheme);
                    if (authResult.Succeeded)
                    {
                        context.HttpContext.User = authResult.Principal;
                        hasValidScheme = true;
                        break;
                    }
                    else if (authResult.Failure != null)
                    {
                        failureExceptions.Add(authResult.Failure);
                    }
                }

                // 所有方案都失败时记录日志
                if (!hasValidScheme)
                {
                    foreach (var ex in failureExceptions)
                    {
                        logger.LogError(ex, "令牌验证失败：所有方案均未通过");
                    }
                    return false;
                }

                return true;
            });
        });
    });

日志控制的关键细节 #

1. 关闭单个方案的失败日志：通过重写每个验证方案的OnAuthenticationFailed事件，调用context.HandleResponse()阻止默认的日志输出和响应处理。
2. 统一日志记录时机：仅在所有验证方案都失败时，在策略的断言逻辑中统一记录所有失败异常，避免单个失败时的冗余日志。

方案优化建议 #

• 优先验证预判：可以根据令牌格式（是否包含.）调整验证顺序，比如JWT令牌先试JwtScheme，引用令牌直接试introspection方案，减少无效验证请求。
• 并行验证提升性能：如果对性能要求较高，可以改用Task.WhenAll并行执行所有验证方案，一旦有一个成功就终止后续验证：

  var tasks = validationSchemes.Select(scheme => context.HttpContext.AuthenticateAsync(scheme));
  var results = await Task.WhenAll(tasks);
  var validResult = results.FirstOrDefault(r => r.Succeeded);
  if (validResult != null)
  {
      context.HttpContext.User = validResult.Principal;
      return true;
  }
  // 记录失败日志...
  

• 权限细粒度控制：如果不同客户端对应不同API权限，可以在验证通过后，从验证结果中提取客户端ID并添加为Claim，后续授权时基于这些Claim做权限校验。

内容的提问来源于stack exchange，提问作者Devanshu agarwal