ASP.Net Core - IdentityServer4客户端凭证授权调用API返回404

从你的日志和代码来看，核心问题出在API项目的认证配置错误，导致无法正确识别Client Credentials模式下的Bearer Token，转而尝试用Cookie认证跳转登录页面，最终因为登录页不存在返回404。

问题细节分析 #

日志里的关键信息：

Authorization failed.
Executing ChallengeResult with authentication schemes ().
AuthenticationScheme: Identity.Application was challenged.

这说明你的API默认使用了Cookie认证（Identity.Application是ASP.NET Identity的Cookie方案），但Client Credentials模式下客户端传递的是Bearer Token，API无法识别这个Token的有效性，所以授权失败后触发了Cookie认证的挑战逻辑——跳转到登录页，但你的API并没有实现登录页面，因此返回404。

解决方案步骤 #

1. 为API配置JWT Bearer认证

在API项目的Startup.cs（或.NET 6+的Program.cs）中，替换默认的Cookie认证配置，添加JWT Bearer认证：

// .NET 6+ 示例（Program.cs）
var builder = WebApplication.CreateBuilder(args);

// 添加JWT Bearer认证
builder.Services.AddAuthentication("Bearer")
    .AddJwtBearer("Bearer", options =>
    {
        options.Authority = "https://localhost:5001"; // 替换为你的IdentityServer地址
        options.RequireHttpsMetadata = true; // 生产环境保持true，开发环境可根据需要调整
        options.Audience = "adminApiName"; // 必须和你Seed时的adminApiName完全一致
    });

// 添加授权策略（可选，如果你需要验证自定义Claim）
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("ManageUsers", policy =>
    {
        policy.RequireAuthenticatedUser();
        policy.RequireClaim("ManageUsersType", "ManageUsersValue"); // 匹配你给AdminClient添加的Claim
    });
});

builder.Services.AddControllers();

var app = builder.Build();

// 注意中间件顺序：先认证，再授权
app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();

app.Run();

2. 修正Controller的授权属性

确保你的UsersController使用正确的认证方案或授权策略：

// 方式1：指定Bearer认证方案
[Authorize(AuthenticationSchemes = "Bearer")]
public class UsersController : ControllerBase
{
    // ...
}

// 方式2：使用自定义授权策略（推荐，更严谨）
[Authorize(Policy = "ManageUsers")]
public class UsersController : ControllerBase
{
    // ...
}

3. 验证Token的有效性

用jwt.io解析你获取到的Token，确认以下内容：

• aud（受众）字段等于你配置的adminApiName
• scope字段包含adminApiName
• 存在你添加的ManageUsersType Claim，且值为ManageUsersValue

如果Token内容不符合，检查IdentityServer的Seed逻辑是否正确生成了API资源和客户端配置。

额外注意事项 #

• 确保IdentityServer和API的端口、协议（http/https）配置一致，避免跨域或地址不匹配问题
• 开发环境下如果使用http，需将options.RequireHttpsMetadata设为false
• 确认API项目的appsettings.json中没有覆盖认证相关的配置

内容的提问来源于stack exchange，提问作者TheMagnificent11