.NET Core Web API调用api/Auth时持续返回401错误求助

• 核对环境配置差异

  • 对比本地/生产与预发布环境的配置文件（如appsettings.json），重点检查MVC应用的Cookie配置：SameSite属性是否适配跨域场景、Secure属性是否和HTTPS环境匹配、Domain设置是否覆盖API请求的域名范围。预发布环境常因HTTPS启用但Cookie未设置Secure=true，导致API请求无法携带有效Cookie。
  • 校验API中MVC基础地址的逻辑，确认预发布环境的URL是否存在大小写、末尾斜杠、子域名差异，比如生产地址无末尾斜杠但预发布带斜杠，可能触发地址校验失败。

• 验证Token与Cookie传递逻辑

  • 在API侧添加日志，输出向MVC发起请求时携带的Token值；同时在MVC的api/Auth接口中打印收到的Token，对比两者是否完全一致，排查Token传递过程中是否被截断、篡改。
  • 在MVC的api/Auth接口中打印当前请求的Cookie集合，确认用户Cookie中的目标Token是否存在，排查预发布环境是否因负载均衡、反向代理导致Cookie路径/作用域变更，API请求无法读取到对应Cookie。

• 排查网络与安全层限制

  • 检查预发布环境的防火墙、反向代理（如Nginx、IIS ARR）规则，确认是否拦截了API服务器向MVC服务器的内部请求，或修改了请求头（如移除Token相关字段）。
  • 验证HTTPS证书信任情况：预发布环境若使用自签名证书，API的HttpClient可能因证书验证失败导致请求异常，可临时添加证书忽略逻辑排查（仅用于测试，生产禁用）：

    var handler = new HttpClientHandler();
    handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;
    using (var client = new HttpClient(handler) { BaseAddress = baseAddress })
    {
        var message = new HttpRequestMessage(HttpMethod.Get, "api/Auth");
        // 后续请求逻辑
    }
    

• 添加详细日志与模拟测试

  • 在API侧记录请求MVC的完整请求头、响应状态码及响应内容；在MVC侧记录api/Auth接口的请求来源IP、Token校验结果、Cookie读取详情，通过日志定位异常节点。
  • 使用Postman等工具模拟API向MVC发起请求，携带相同Token和必要头信息，对比模拟请求与API发起请求的结果，判断是代码逻辑问题还是环境配置问题。

• 检查会话状态配置

  • 确认预发布环境中MVC应用是否使用分布式会话（如Redis），若API请求MVC时无法正确关联到用户会话，会导致Cookie中的Token无法匹配会话存储的值，需核对分布式会话的配置一致性。

内容的提问来源于stack exchange，提问作者Haresh Savlani