ASP.NET Core应用AAD认证未返回正确WWW-Authenticate头如何解决

你可以通过自定义认证挑战的回调逻辑修改响应头，以下是两种可行的实现方式：

方案1：重写JWT Bearer的OnChallenge事件（最常用） #

适用于直接使用AddJwtBearer配置AAD认证的场景：

• 在Program.cs的认证服务配置中新增事件逻辑，原有AAD的Authority、Audience等配置不需要修改

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        // 保留你原有AAD相关配置
        options.Authority = "你的AAD授权地址";
        options.Audience = "你的AAD客户端ID";
        
        // 新增自定义挑战逻辑
        options.Events = new JwtBearerEvents
        {
            OnChallenge = context =>
            {
                // 跳过默认的响应头生成逻辑
                context.HandleResponse();
                // 写入自定义WWW-Authenticate头
                context.Response.Headers.WWWAuthenticate = "Bearer authorization-uri=https://example.com";
                context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                return Task.CompletedTask;
            }
        };
    });

方案2：自定义授权中间件结果处理器 #

适用于使用Microsoft.Identity.Web封装的AAD认证场景：

• 第一步：实现自定义结果处理类

public class CustomAuthorizationMiddlewareResultHandler : IAuthorizationMiddlewareResultHandler
{
    private readonly AuthorizationMiddlewareResultHandler _defaultHandler = new();

    public async Task HandleAsync(RequestDelegate next, HttpContext context, AuthorizationPolicy policy, PolicyAuthorizationResult authorizeResult)
    {
        // 仅处理认证失败的挑战场景
        if (authorizeResult.Challenged)
        {
            context.Response.Headers.Remove(HeaderNames.WWWAuthenticate);
            context.Response.Headers.WWWAuthenticate = "Bearer authorization-uri=https://example.com";
            context.Response.StatusCode = StatusCodes.Status401Unauthorized;
            return;
        }
        // 其他场景走默认处理逻辑
        await _defaultHandler.HandleAsync(next, context, policy, authorizeResult);
    }
}

• 第二步：在Program.cs注册自定义处理器

builder.Services.AddSingleton<IAuthorizationMiddlewareResultHandler, CustomAuthorizationMiddlewareResultHandler>();

注意事项 #

• 两种方案都不会影响原有AAD认证的核心校验逻辑，仅修改未认证场景的响应头输出
• 如果应用同时支持多种认证方案，可以在自定义逻辑中增加认证方案判断，避免影响其他认证方式的响应

内容的提问来源于stack exchange，提问作者Ellbar