使用IdentityServer4时，Angular9调用带授权的.NET Core3.1 API报404错误

嘿，我之前也踩过类似的坑，结合你用的Angular 9 + .NET Core 3.1 + IdentityServer4 Implicit Flow技术栈，加了[Authorize]就返回404而不是预期的401/403，大概率是授权相关的配置出了问题，下面给你列几个最可能的排查方向：

• 检查中间件注册顺序：.NET Core的中间件顺序绝对不能乱！必须先注册认证（Authentication），再注册授权（Authorization），而且要放在路由中间件之后、端点中间件之前。如果顺序反了，授权中间件拿不到认证后的用户信息，会导致路由匹配异常，返回404而非401。
  正确的顺序应该是这样：

  app.UseRouting();
  app.UseAuthentication(); // 先处理认证
  app.UseAuthorization();  // 再处理授权
  app.UseEndpoints(endpoints =>
  {
      endpoints.MapControllers();
  });
  

• 确认IdentityServer4认证配置匹配：在Startup.cs的ConfigureServices里，你配置JWT Bearer认证时，必须保证Audience和Authority与IdentityServer4上定义的完全一致。比如：

  services.AddAuthentication("Bearer")
      .AddJwtBearer("Bearer", options =>
      {
          options.Authority = "https://your-identityserver-domain"; // 要和IdentityServer的地址一致
          options.RequireHttpsMetadata = false; // 开发环境可临时关闭，生产必须设为true
          options.Audience = "your-api-resource-name"; // 必须和你在IdentityServer中注册的API资源名称完全匹配！
      });
  

  如果Audience填错，后端会直接拒绝这个Token，认证失败后可能返回404而不是401（这个情况我亲测过，踩过坑）。

• 解析Access Token验证内容：用jwt.io把你前端拿到的Access Token解析开，重点检查这几个字段：

  • aud（受众）：必须和后端配置的Audience一致
  • iss（颁发者）：必须和后端的Authority地址一致
  • exp（过期时间）：确保Token还在有效期内
  • scope：如果你的API资源定义了特定Scope，Token里必须包含对应的Scope值
    任何一个字段不匹配，都会导致认证失败，进而触发404错误。

• 给[Authorize]指定认证方案：如果你的后端同时配置了多种认证方案（比如Cookie + JWT Bearer），一定要在[Authorize]特性里明确指定用Bearer方案，否则默认可能用Cookie认证，而前端是用Bearer Token请求，自然认证失败：

  [Authorize(AuthenticationSchemes = "Bearer")]
  public class YourApiController : ControllerBase
  {
      // 接口逻辑
  }
  

• 查看后端详细日志：打开.NET Core的调试日志，在appsettings.json里把日志级别调为Debug：

  {
      "Logging": {
          "LogLevel": {
              "Microsoft.AspNetCore": "Debug"
          }
      }
  }
  

  然后看请求过程中有没有Authentication failed或Authorization failed的日志，以及路由匹配的细节，这能帮你精准定位到底是认证失败导致的，还是路由本身的问题。

• 排查错误处理中间件：如果你配置了自定义的错误处理中间件，有没有把401错误重定向到某个不存在的页面？这种情况下，原本的401会被转换成404返回，也是常见的坑点。

内容的提问来源于stack exchange，提问作者tmax noda