IdentityServer4受JWT保护的API获取用户信息时IsAuthenticated为false如何解决

1 优先排查BFF请求头转发配置 #

• 绝大多数该场景下的认证失败都是BFF层没有把前端传入的Authorization请求头转发到后端API导致的
• 若使用YARP/Ocelot等反向代理组件做BFF：需显式配置允许转发Authorization头，避免被默认过滤规则拦截
• 若使用微软官方BFF框架：需额外配置将Cookie中存储的访问token取出，塞入转发请求的Authorization: Bearer {token}头中

2 修正JWT配置缺失项 #

你当前的配置开启了受众校验但未指定合法受众，会直接导致校验失败，IsAuthenticated返回false，修改后的配置参考：

.AddAuthentication("token")  
.AddJwtBearer("token", options =>
{
    options.Authority = "https://localhost:6666";
    options.MapInboundClaims = false;
    // 可添加事件调试认证失败原因
    options.Events = new JwtBearerEvents
    {
        OnAuthenticationFailed = context =>
        {
            // 此处输出异常信息可直接定位校验失败的具体原因（如签名错误/受众不匹配/token过期等）
            Console.WriteLine($"认证失败：{context.Exception.Message}");
            return Task.CompletedTask;
        }
    };
    options.TokenValidationParameters = new TokenValidationParameters()
    {
        ValidateAudience = true,
        // 新增：填写你在IdentityServer中为该API定义的ApiResource名称/合法受众值
        ValidAudience = "your-api-audience",
        ValidTypes = new[] { "at+jwt" },
        NameClaimType = "name",
        RoleClaimType = "role"
    };
});

3 确认中间件管道顺序 #

必须保证认证中间件执行在授权中间件、端点映射之前，正确顺序如下：

app.UseRouting();

// 先执行认证
app.UseAuthentication();
// 再执行授权
app.UseAuthorization();

// 最后映射端点
app.MapControllers();

4 认证通过后获取用户ID #

因为你配置了MapInboundClaims = false，不会做声明类型映射，IdentityServer默认的用户ID声明为sub，直接取值即可：

// 取出用户ID（guid格式）
var userId = _contextAccessor.HttpContext.User.FindFirstValue("sub");

内容的提问来源于stack exchange，提问作者dami