.Net 6 WebAPI中能否同时使用API Key与JWT Token鉴权

这个混合鉴权方案完全可行，和你当前的业务场景匹配度很高，两种鉴权机制在.NET 6的授权体系下没有冲突，不需要做复杂的架构改造就能落地。

• 把API Key校验设为全局前置校验：所有请求进入接口前首先校验请求携带的API Key合法性，没有合法Key的请求直接返回401，从入口层挡住所有未授权的第三方应用调用，满足最基础的接入管控要求。
• 给Admin类端点单独配置叠加鉴权规则：所有/admin路径下的端点，在API Key校验通过的基础上，额外要求请求携带合法的管理员身份JWT Token才能访问；其余非管理员端点不强制要求JWT，授权应用只要带合法API Key就能正常调用，完全适配你“非管理员场景不强制用户注册账号”的需求。

• 不要把两种鉴权做成二选一逻辑：.NET 6的授权策略本身支持多认证方案叠加，一定要把API Key校验设为所有授权策略的基础要求，避免出现“只带JWT不带API Key就能访问普通接口”“只带API Key不带JWT就能访问Admin接口”的权限穿透问题。
• API Key不要硬编码存储：给每个接入的应用分配独立的API Key，存储时做哈希处理，配套单独的吊销、轮换机制，不要把通用Key硬编码在代码或配置文件里长期不更新。
• JWT仅用于管理员身份识别：只给管理员账号签发JWT，Token payload里只存用户ID、角色这类必要的身份声明，不要塞冗余业务字段，设置合理的过期时间即可，不需要给普通应用用户签发JWT。

// 注册两种认证方案
builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = "ApiKey";
    options.DefaultChallengeScheme = "ApiKey";
})
// 自定义API Key认证方案
.AddScheme<ApiKeyAuthOptions, ApiKeyAuthHandler>("ApiKey", _ => { })
// 注册JWT认证方案
.AddJwtBearer("Jwt", options =>
{
    options.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidateAudience = true,
        ValidateIssuerSigningKey = true,
        // 按实际业务配置合法签发方、接收方、签名密钥等参数
        ValidIssuer = builder.Configuration["Jwt:Issuer"],
        ValidAudience = builder.Configuration["Jwt:Audience"],
        IssuerSigningKey = new SymmetricSecurityKey(
            Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
    };
});

// 配置授权策略
builder.Services.AddAuthorization(options =>
{
    // 默认全局策略：所有接口必须通过API Key认证
    options.DefaultPolicy = new AuthorizationPolicyBuilder("ApiKey")
        .RequireAuthenticatedUser()
        .Build();
    // Admin专属策略：同时通过API Key+JWT认证，且拥有Admin角色
    options.AddPolicy("AdminOnly", policy =>
    {
        policy.AddAuthenticationSchemes("ApiKey", "Jwt")
            .RequireAuthenticatedUser()
            .RequireRole("Admin");
    });
});

实际使用时，只需要给Admin相关的Controller或Action打上[Authorize(Policy = "AdminOnly")]特性，其余接口不做额外授权标记就会走默认的API Key校验逻辑，配置成本很低。

内容的提问来源于stack exchange，提问作者Jim Evans