ASP.NET WebAPI双JWT认证方案配置无效问题求助

以下是你可能遗漏的关键检查点和解决步骤：

1. 确认自定义Scheme的验证配置完全独立且正确 #

虽然你提到已检查令牌验证配置，但需确保自定义Scheme的AddJwtBearer配置没有复用默认Scheme的参数，颁发者（Issuer）、受众（Audience）、签名密钥（SigningKey）必须与对应令牌的声明完全匹配。示例配置如下：

services.AddAuthentication(options =>
{
    options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(JwtBearerDefaults.AuthenticationScheme, options =>
{
    // 默认Scheme的配置：读取对应配置节，设置Issuer、Audience、SigningKey等
    options.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidIssuer = Configuration["Jwt:DefaultIssuer"],
        ValidateAudience = true,
        ValidAudience = Configuration["Jwt:DefaultAudience"],
        ValidateIssuerSigningKey = true,
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:DefaultSecret"]))
    };
})
.AddJwtBearer(AuthenticationDefaults.CustomScheme, options =>
{
    // 自定义Scheme的独立配置：必须对应自定义令牌的参数
    options.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidIssuer = Configuration["Jwt:CustomIssuer"], // 注意这里是自定义颁发者
        ValidateAudience = true,
        ValidAudience = Configuration["Jwt:CustomAudience"], // 自定义受众
        ValidateIssuerSigningKey = true,
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:CustomSecret"])) // 自定义密钥
    };
    // 可选：如果自定义令牌的Authorization头前缀不是Bearer，需设置
    // options.AuthorizationHeaderScheme = "CustomBearer";
});

2. 验证授权策略与自定义Scheme的绑定 #

若你创建了自定义授权策略，需确保策略明确关联了CustomScheme，而非仅设置默认策略。示例：

services.AddAuthorization(options =>
{
    options.AddPolicy("CustomPolicy", policy =>
    {
        policy.AuthenticationSchemes.Add(AuthenticationDefaults.CustomScheme);
        policy.RequireAuthenticatedUser();
        // 其他授权规则...
    });
});

如果控制器上直接使用[Authorize(AuthenticationSchemes = AuthenticationDefaults.CustomScheme)]，则无需依赖策略，但需确保Scheme名称完全匹配（C#中字符串区分大小写）。

3. 排查令牌本身的匹配问题 #

• 确认测试自定义Scheme时使用的令牌，其iss（颁发者）、aud（受众）声明与CustomScheme配置的ValidIssuer、ValidAudience完全一致，包括大小写和字符串内容。
• 检查令牌的签名算法是否与CustomScheme配置的匹配（默认是HS256，若自定义令牌用了RS256，需配置对应的IssuerSigningKey为RSA密钥）。

4. 启用认证日志定位具体失败原因 #

最直接的方式是开启ASP.NET Core的认证日志，查看401的具体触发原因。在appsettings.json中添加日志配置：

{
  "Logging": {
    "LogLevel": {
      "Microsoft.AspNetCore.Authentication": "Debug"
    }
  }
}

运行项目后，查看控制台或日志文件，会输出认证过程中的详细错误信息（如“签名验证失败”、“受众不匹配”等），这能快速定位问题根源。

5. 确认中间件顺序正确 #

确保UseAuthentication在UseAuthorization之前调用，且在UseRouting之后：

app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

（注：你默认Scheme正常，此步骤大概率没问题，但仍需确认）

内容的提问来源于stack exchange，提问作者Paul Kertscher