ASP.NET CORE Web API中[Authorize]触发401错误的自定义及抛出位置问询

1. 401错误的抛出位置 #

该401错误并非在控制器逻辑中抛出，而是由ASP.NET Core自带的中间件管道在请求进入业务Action前就处理完成的，具体链路如下：

• 首先AuthenticationMiddleware调用配置的JwtBearerHandler处理JWT验证：当请求未携带token、token过期/签名无效时，HandleAuthenticateAsync方法会返回认证失败结果
• 后续AuthorizationMiddleware检查到当前请求用户未通过认证，直接触发401响应逻辑，不会进入你定义的BaseController或业务Action代码

2. 自定义401返回内容的实现方案 #

方案1：通过JWT认证事件自定义（推荐，仅处理JWT相关401） #

直接在JWT服务配置中添加OnChallenge事件，重写默认的401响应内容，.NET 6+ 示例代码如下：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        // 原有Token验证参数配置保持不变
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            // 其余你原有配置项
        };

        // 自定义401响应
        options.Events = new JwtBearerEvents
        {
            OnChallenge = async context =>
            {
                // 跳过默认的401响应逻辑
                context.HandleResponse();
                context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                context.Response.ContentType = "application/json;charset=utf-8";
                
                // 自定义返回结构，可根据需要扩展字段
                var response = new
                {
                    code = 401,
                    msg = "无效的访问凭证，请先登录",
                    error = context.Error,
                    error_desc = context.ErrorDescription
                };
                await context.Response.WriteAsJsonAsync(response);
            }
        };
    });

方案2：自定义中间件全局处理（适配所有场景的401） #

如果需要统一处理所有认证/授权逻辑触发的401（包含非JWT认证场景），可以插入自定义中间件实现：

1. 定义中间件类

public class UnauthorizedHandleMiddleware
{
    private readonly RequestDelegate _next;
    public UnauthorizedHandleMiddleware(RequestDelegate next) => _next = next;

    public async Task InvokeAsync(HttpContext context)
    {
        await _next(context);
        // 响应状态码为401时重写返回内容
        if (context.Response.StatusCode == StatusCodes.Status401Unauthorized)
        {
            context.Response.ContentType = "application/json;charset=utf-8";
            await context.Response.WriteAsJsonAsync(new
            {
                code = 401,
                msg = "访问未授权，请确认身份凭证有效性"
            });
        }
    }
}

2. 注册中间件，注意必须放在认证中间件之后、授权中间件之前：

app.UseAuthentication();
// 插入自定义401处理中间件
app.UseMiddleware<UnauthorizedHandleMiddleware>();
app.UseAuthorization();

注意：如果需要同时自定义权限不足导致的403响应，可在JWT事件中添加OnForbidden事件处理，或者在自定义中间件中补充403状态码的判断逻辑。

内容的提问来源于stack exchange，提问作者Thomas Raj