使用Microsoft.Identity.Web时如何自定义401响应的WWW-Authenticate头

你之前使用IAsyncAuthorizationFilter不生效的核心原因是ASP.NET Core请求管道中，身份认证中间件的执行顺序优先于MVC授权过滤器，认证失败时中间件会直接生成401响应返回，不会进入后续过滤器逻辑，你需要通过配置Microsoft.Identity.Web封装的JWT Bearer认证事件来修改响应头。

具体实现步骤 #

• 第一步：在.NET 6+的Program.cs文件中，在AddMicrosoftIdentityWebApi配置段后追加JwtBearer事件配置，重写OnChallenge回调即可：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAd"))
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddInMemoryTokenCaches()
    // 追加下方配置
    .AddJwtBearerOptions(options =>
    {
        options.Events ??= new JwtBearerEvents();
        var originalOnChallenge = options.Events.OnChallenge;
        options.Events.OnChallenge = async context =>
        {
            // 先执行默认OnChallenge逻辑，避免破坏原有认证能力
            if (originalOnChallenge != null)
            {
                await originalOnChallenge(context);
            }

            // 仅在认证失败触发401挑战、响应未发送时修改头信息
            if (!context.Response.HasStarted && context.Response.StatusCode == StatusCodes.Status401Unauthorized)
            {
                // 清除原有默认的WWW-Authenticate头
                context.Response.Headers.WWWAuthenticate = StringValues.Empty;
                // 拼接符合Office要求的重定向参数，按RFC6750规范格式填写
                var redirectUri = "你的登录重定向地址";
                var customAuthHeader = $"Bearer redirect_uri=\"{redirectUri}\", error=\"invalid_token\", error_description=\"Authentication required\"";
                context.Response.Headers.WWWAuthenticate = customAuthHeader;
                // 标记响应已处理，避免默认逻辑覆盖自定义配置
                context.HandleResponse();
            }
        };
    });

• 第二步：如果你使用的是.NET 5及更早版本，只需要对应修改Startup.cs中ConfigureServices的认证配置逻辑即可，代码逻辑完全一致。

注意事项 #

• WWW-Authenticate头的参数格式需要符合RFC 6750规范，Office客户端才能正确识别重定向信息，多个参数之间用英文逗号分隔，含特殊字符的参数值需要用双引号包裹。
• 你配置的重定向地址需要提前加入Azure AD应用注册的重定向URI白名单，否则后续登录流程会触发权限报错。

内容的提问来源于stack exchange，提问作者Superman.Lopez