ASP.NET Core 5 Identity [Authorize]接口登录后返回401问题

按以下优先级逐一排查，99%的同类问题都能解决：

1. 检查中间件管道顺序（最高发问题） #

你贴的代码只包含ConfigureServices中的服务注册逻辑，没有贴Configure方法（或.NET 6+ Program.cs中的中间件注册部分），这是此类401问题的最常见诱因。
ASP.NET Core中间件严格按照注册顺序执行，认证授权相关中间件必须严格按照如下顺序注册，漏写、顺序颠倒都会导致框架不执行JWT校验，直接返回401，和令牌本身是否有效无关：

// 跨域、异常处理、HTTPS重定向等中间件放在前面
app.UseRouting();

// 必须先写UseAuthentication，再写UseAuthorization，二者缺一不可，顺序不能调换
app.UseAuthentication();
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

2. 检查请求头的令牌格式 #

不管是前端请求还是Swagger测试，携带JWT的Authorization请求头必须严格符合规范：

• 前缀固定为Bearer （注意Bearer后必须跟1个英文半角空格，漏空格、多空格、前缀写错比如写成JWT/Token都会校验失败）
• 空格后拼接登录接口返回的完整JWT字符串
  正确格式示例：

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJodHRwOi8vc2NoZW1hcy54bWxzb2FwLm9yZy93cy8yMDA1LzA1L2lkZW50aXR5L2NsYWltcy9uYW1lIjoidGVzdEB0ZXN0LmNvbSIsImV4cCI6MTcwMDAwMDAwMCwiaXNzIjoiaXNzdWVyIiwiYXVkIjoiaHR0cHM6Ly9sb2NhbGhvc3Q6NDQzOTMifQ.Qb6t8xxxxxxxxxxx

可以直接在Chrome开发者工具的Network面板中，点开返回401的请求，查看Request Headers里的Authorization头是否符合要求。

3. 开启JWT校验日志定位具体错误 #

如果前两项都没问题，直接在JWT Bearer配置中加校验事件，调试时可以直接拿到具体的失败原因，不用盲目猜：

.AddJwtBearer(options =>
{
    // 新增以下事件配置
    options.Events = new JwtBearerEvents
    {
        OnAuthenticationFailed = context =>
        {
            // 这里打断点，context.Exception会明确告诉你失败原因：密钥不匹配/受众不匹配/令牌过期/格式错误等
            Console.WriteLine($"JWT校验失败: {context.Exception.Message}");
            return Task.CompletedTask;
        }
    };
    // 原有TokenValidationParameters配置保持不变
    options.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidateAudience = true,
        ValidateLifetime = true,
        ValidateIssuerSigningKey = true,
        ValidIssuer = jwtSettings["validIssuer"],
        ValidAudience = jwtSettings["validAudience"],
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8
            .GetBytes(jwtSettings.GetSection("securityKey").Value))
    };
});

常见的校验失败原因：

• 密钥长度不足：HmacSha256算法要求密钥长度至少16个字符，太短会直接抛出校验异常
• 受众不匹配：你配置的validAudience是https://localhost:44393，如果本地启动时端口变动、用HTTP协议访问，都会导致受众校验失败
• 时间偏差过大：你设置的令牌有效期只有5分钟，如果服务器时间比客户端时间快超过5分钟，令牌生成时就已经过期
• 签发者不匹配：生成令牌用的validIssuer和校验时配置的validIssuer不一致

4. 排除Identity默认Cookie认证的干扰 #

你调用了AddIdentity方法，该方法默认会注册Cookie认证方案，极端情况下会覆盖JWT作为默认认证方案。可以在受保护的接口/控制器上显式指定认证方案，快速验证是否是该问题：

[Route("[controller]")]
[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)] // 显式指定用JWT认证
[ApiController]
public class PaintingsController : Controller
{
    // 控制器代码不变
}

如果加了这个特性后接口能正常访问，只需要在AddIdentity配置后重新显式指定默认认证方案即可，不需要在每个控制器上都加特性。

内容的提问来源于stack exchange，提问作者eleon