.NET Framework 4.7中如何从Global.asax调用OWIN配置JWT授权

1. 确保安装必要的NuGet包 #

首先确认项目已安装以下核心依赖包：

• Microsoft.Owin.Host.SystemWeb：实现OWIN管道与IIS托管环境的集成
• Microsoft.Owin.Security.Jwt：提供JWT Bearer认证的核心能力
• Owin：基础OWIN框架依赖

2. 关联OWIN启动与Global.asax #

你无需手动在Global.asax中直接调用Startup.Configuration，OWIN提供了自动绑定机制；若需保留Global.asax启动逻辑并显式触发OWIN初始化，可选择以下两种方式：

方式一：使用OwinStartup特性（推荐）

在Startup类上添加OwinStartup特性，指定启动类后，OWIN会自动在应用启动阶段（与Global.asax的Application_Start同步）加载并执行Configuration方法：

using Owin;
using Microsoft.Owin.Security.Jwt;
using System.IdentityModel.Tokens.Jwt;

[assembly: OwinStartup(typeof(你的命名空间.Startup))]
namespace 你的命名空间
{
    public class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            // 补充签名密钥：JWT验证必须配置该参数，否则签名校验会失败
            var signingKey = new SymmetricSecurityKey(System.Text.Encoding.UTF8.GetBytes(ConfigHelper.GetSigningKey()));

            app.UseJwtBearerAuthentication(
                new JwtBearerAuthenticationOptions
                {
                    AuthenticationMode = Microsoft.Owin.Security.AuthenticationMode.Active,
                    TokenValidationParameters = new TokenValidationParameters()
                    {
                        ValidAudience = ConfigHelper.GetAudience(),
                        ValidIssuer = ConfigHelper.GetIssuer(),
                        ValidateLifetime = true,
                        ValidateIssuerSigningKey = true,
                        IssuerSigningKey = signingKey // 新增签名密钥配置
                    }
                });
        }
    }
}

此方式下Global.asax无需修改，OWIN会自动融入现有启动流程。

方式二：手动在Global.asax中初始化OWIN

若需在Global.asax的Application_Start中显式触发OWIN启动，可添加如下代码：

using Owin;

public class Global : System.Web.HttpApplication
{
    protected void Application_Start(object sender, EventArgs e)
    {
        // 保留原有Application_Start逻辑
        // ...

        // 手动初始化OWIN并执行Startup配置
        var startup = new Startup();
        var appBuilder = new AppBuilder();
        startup.Configuration(appBuilder);
    }
}

该方式灵活性略低，一般推荐使用第一种特性绑定方式。

3. 关键注意事项 #

• 必须配置IssuerSigningKey：原代码缺失该参数，JWT签名校验依赖此密钥（可从配置读取对称密钥或加载非对称证书），否则认证会直接失败。
• 启用[Authorize]特性：在需要授权的控制器或Action上添加[Authorize]特性，OWIN会自动校验请求头中的Bearer令牌。
• IIS权限设置：确保IIS允许匿名访问，避免IIS提前拦截请求导致OWIN无法处理JWT验证。

内容的提问来源于stack exchange，提问作者Stack Undefined