JWT令牌验证失败后授权仍执行，如何拦截返回401或获取验证结果？

问题根因 #

ASP.NET Core 中身份验证和授权是独立的中间件流程：

• 身份验证中间件仅负责构造 HttpContext.User 对象，就算令牌验证失败，也只会将用户标识设为未认证状态，不会主动终止请求管道
• 授权中间件的执行逻辑不依赖身份验证的结果，只要没有前置中间件终止请求，就会触发所有注册的 AuthorizationHandler，包括你自定义的实现

解决方案 #

方案1：JWT验证失败后直接返回401，终止后续流程 #

调整JWT承载认证的事件配置，在令牌验证失败时直接响应401，终止管道执行，修改你的JWT配置代码如下：

services.AddAuthentication(bearerScheme)
    .AddJwtBearer(bearerScheme, config =>
    {
        config.Authority = authority;
        config.Audience = resourceId;
        // 新增事件配置
        config.Events = new JwtBearerEvents
        {
            OnAuthenticationFailed = context =>
            {
                // 验证失败直接返回401，终止后续管道执行
                context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                context.HandleResponse();
                return Task.CompletedTask;
            }
        };
    });

同时要确保中间件的注册顺序正确，身份验证中间件必须在授权中间件之前：

// 顺序不能调换
app.UseAuthentication();
app.UseAuthorization();

配置完成后只要JWT验证失败就会直接返回401，不会进入后续的授权流程和控制器逻辑。

方案2：在自定义AuthorizationHandler中获取JWT验证结果 #

如果需要保留自定义授权逻辑的执行，可在Handler中直接读取身份验证结果判断状态：
在你的自定义 AuthorizationHandler 的 HandleRequirementAsync 方法中添加如下判断：

protected override async Task HandleRequirementAsync(AuthorizationHandlerContext context, MyRequirement requirement)
{
    // 快速判断用户是否已通过身份验证
    if (!context.User.Identity?.IsAuthenticated ?? true)
    {
        // 标记授权失败，后续中间件会自动返回401/403
        context.Fail();
        return;
    }
    
    // 也可以读取认证结果的具体错误信息
    var authResult = await context.HttpContext.AuthenticateAsync(bearerScheme);
    if (!authResult.Succeeded)
    {
        // 可以拿到IDX10223这类具体错误信息做自定义处理
        var errorMsg = authResult.Failure?.Message;
        context.Fail();
        return;
    }
    
    // 原有你的权限校验逻辑
    // ...
}

内容的提问来源于stack exchange，提问作者user1474992