ASP.NET Core中JWT Bearer认证配置后请求返回401未授权问题排查

我帮你排查了代码里的配置和token生成逻辑，发现几个关键的错误设置导致了401未授权的问题，下面逐一分析并给出修复方案：

1. 矛盾的TokenValidationParameters配置（核心问题） #

你的JWT认证配置里存在多处自相矛盾的设置，这会让认证中间件的验证逻辑混乱，最终导致合法token被拒绝：

• 你关闭了ValidateIssuer和ValidateAudience的验证（设为false），但同时又配置了ValidIssuer和ValidAudience的值，这部分配置完全无效，而且和你生成token时主动设置issuer/audience的行为冲突。
• 你关闭了ValidateLifetime（设为false），这不仅在生产环境极度不安全，还会让中间件跳过token过期时间的验证，反而可能触发框架内部的异常校验逻辑。

修复后的TokenValidationParameters配置 #

把这部分配置调整为和你token生成逻辑匹配的正确设置，开启必要的验证项：

options.TokenValidationParameters = new TokenValidationParameters
{
    ValidateIssuer = true,
    ValidateAudience = true,
    ValidAudience = builder.Configuration["JWT:ValidAudience"],
    ValidIssuer = builder.Configuration["JWT:ValidIssuer"],
    ClockSkew = TimeSpan.Zero,
    ValidateLifetime = true,
    IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["JWT:Secret"]))
};

2. 其他可能的触发点 #

如果调整上述配置后仍然出现401，可以检查以下几点：

• 请求头格式是否正确：确保Authorization头严格遵循Bearer <token>格式，Bearer和token之间必须有一个空格，很多401问题都是因为这个细节错误。
• 显式指定认证方案（可选）：如果默认认证方案没有生效，可以在控制器/Action上显式指定JWT认证方案：

  [Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
  

• 配置文件键名一致性：确认appsettings.json中的JWT配置键名（比如JWT:Secret、JWT:ValidIssuer）和代码中读取的完全一致，虽然.NET配置默认不区分大小写，但保持一致能避免潜在的读取错误。

3. 生产环境注意事项 #

修复后，记得在生产环境把RequireHttpsMetadata设为true，强制使用HTTPS传输token，防止token被窃取：

options.RequireHttpsMetadata = true;

按照上述方案调整后，你的JWT认证应该就能正常工作了，带token的请求可以正确通过[Authorize]的校验。

内容来源于stack exchange