.NET Core Web API中JWT授权仅在User控制器生效问题排查

核心问题：遗漏管道中间件配置 #

你当前仅在Program.cs中注册了JWT认证服务（AddAuthentication），但没有在请求管道中启用身份认证和授权中间件——这是导致其他控制器[Authorize]失效的最常见原因。

User控制器的[Authorize]能生效属于偶然情况（比如路由匹配顺序影响），但全局管道未启用认证的情况下，其他控制器无法触发JWT认证逻辑。

修复步骤 #

在Program.cs的管道配置阶段，添加以下两行代码，严格注意顺序和位置：

app.UseAuthentication(); // 启用身份认证，必须在UseAuthorization之前
app.UseAuthorization();  // 启用授权

正确的管道顺序示例：

var app = builder.Build();

// 开发环境启用Swagger
if (app.Environment.IsDevelopment())
{
    app.UseSwagger();
    app.UseSwaggerUI();
}

app.UseHttpsRedirection();

app.UseRouting();

// 必须放在UseRouting之后，UseEndpoints之前
app.UseAuthentication();
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

app.Run();

额外排查点 #

1. 检查其他控制器的[Authorize]配置
   确认其他控制器的[Authorize]没有被[AllowAnonymous]特性覆盖，比如控制器类或方法上误加[AllowAnonymous]会直接跳过认证。

2. 验证Token的角色声明
   如果其他控制器使用了[Authorize(Roles = "XXX")]，要确保登录接口生成JWT时，给用户添加了对应的角色声明。比如生成Token的代码中需包含：

   new Claim(ClaimTypes.Role, "XXX")
   

内容的提问来源于stack exchange，提问作者Kea501