配置Angular JwtHelper后Web API仍返回Unauthorized问题排查

以下是针对你的场景，需要逐一检查的配置项：

• 验证.NET Core端JWT核心参数匹配性

  • 确保Issuer、Audience和前端获取token时的参数完全一致（包括大小写），任何不匹配都会导致验证失败
  • 检查签名密钥（Secret Key）：如果使用HS256算法，密钥长度至少需要16字节（32位字符），过短的密钥会触发验证错误
  • 用jwt.io解析token，确认exp字段对应的过期时间是否有效，避免使用已过期的token
  • 确认Startup.cs中配置顺序正确：AddAuthentication().AddJwtBearer(...)之后，必须在Configure方法中先调用app.UseAuthentication()，再调用app.UseAuthorization()

• 检查JWT token的必要声明

  • 确保token包含iss（发行者）、aud（受众）、sub（主体）这些核心声明，默认验证逻辑会强制校验这些字段
  • 如果控制器使用了角色/策略授权（比如[Authorize(Roles="Admin")]），要确认token里包含roles声明，同时在JWT配置中指定角色声明类型：

    options.TokenValidationParameters = new TokenValidationParameters
    {
        // 其他配置项
        RoleClaimType = JwtClaimTypes.Role
    };
    

• 排查前端请求与CORS配置

  • 确认请求头的Authorization格式为Bearer {token}，注意Bearer后必须有一个空格，格式错误会导致服务端无法解析token
  • 检查.NET Core的CORS策略：必须允许携带凭证（AllowCredentials）以及自定义请求头，配置示例：

    services.AddCors(options =>
    {
        options.AddPolicy("AllowAngular",
            policy => policy.WithOrigins("你的前端生产域名")
                            .AllowAnyHeader()
                            .AllowAnyMethod()
                            .AllowCredentials());
    });
    

    且app.UseCors("AllowAngular")要放在UseAuthentication之前执行

• 生产环境配置与日志排查

  • 确认生产环境的appsettings.Production.json中JWT配置和开发环境一致，避免因环境切换导致参数不匹配
  • 临时开启JWT认证失败日志，定位具体错误：

    options.Events = new JwtBearerEvents
    {
        OnAuthenticationFailed = context =>
        {
            Console.WriteLine("认证失败原因：" + context.Exception.Message);
            return Task.CompletedTask;
        }
    };
    

    查看服务端控制台输出的错误信息，快速定位问题点

内容的提问来源于stack exchange，提问作者s_om