AspNetCore自定义认证方案通过认证后授权失败问题排查

核心原因 #

认证成功但触发403禁止，本质是授权策略验证未通过——即便自定义认证Handler生成了AuthenticationTicket，如果其中的ClaimsPrincipal不符合授权规则的要求，就会被授权中间件拒绝。

具体排查方向与修复方案 #

1. ClaimsPrincipal未被标记为已认证 #

ASP.NET Core判断用户是否已认证，完全依赖ClaimsIdentity.IsAuthenticated属性。如果创建ClaimsIdentity时没有指定认证方案名称，这个属性默认会是false，直接导致RequireAuthenticatedUser()验证失败。

错误写法示例：

// 生成的Identity默认IsAuthenticated为false
var identity = new ClaimsIdentity(claims);

修复：

创建ClaimsIdentity时传入你的自定义认证方案名称：

var identity = new ClaimsIdentity(
    claims, 
    MyProductAuthenticationSchemeOptions.AuthenticationScheme // 指定认证方案
);
var principal = new ClaimsPrincipal(identity);
return AuthenticateResult.Success(new AuthenticationTicket(principal, Scheme.Name));

2. 自定义认证返回的声明不满足策略要求 #

在最初的授权策略中，你明确要求必须包含两个声明：

policy.RequireClaim("client_id", "client");
policy.RequireClaim("my_product_management", "global");

如果你的HandleAuthenticateAsync方法生成的AuthenticationTicket里没有这两个声明，或者声明值不匹配，授权直接失败。

修复：

在生成声明列表时添加符合要求的内容：

var claims = new List<Claim>
{
    new Claim("client_id", "client"),
    new Claim("my_product_management", "global"),
    // 其他业务所需声明
};

3. 授权策略的认证方案配置笔误 #

你修改后的策略中写了policy.AddAuthenticationSchemes(TruthLiteAuthenticationSchemeOptions.AuthenticationScheme);，这里的TruthLite明显是笔误，应该替换为你的自定义方案MyProductAuthenticationSchemeOptions.AuthenticationScheme，否则授权策略会尝试错误的认证方案，导致验证失败。

修复：

修正认证方案名称：

policy.AddAuthenticationSchemes(MyProductAuthenticationSchemeOptions.AuthenticationScheme);

验证建议 #

1. 在HandleAuthenticateAsync中添加日志，输出ClaimsPrincipal的IsAuthenticated属性值和所有声明，确认是否符合预期。
2. 启用授权调试日志，查看具体哪一条规则导致验证失败：

   // appsettings.json
   {
     "Logging": {
       "LogLevel": {
         "Microsoft.AspNetCore.Authorization": "Debug"
       }
     }
   }
   

内容的提问来源于stack exchange，提问作者Richard Barraclough