如何在Ocelot API Gateway中间件中为黑名单JWT返回401响应

你遇到的500错误和全员401问题是由多个常见配置错误共同导致的，按以下步骤修复即可：

核心问题列表 #

• Configure方法错误使用async void：AspNetCore启动管道不支持异步无返回值的Configure方法，会导致异常无法捕获、管道执行逻辑混乱，直接触发500错误
• 中间件顺序错误：UseOcelot被放置在UseEndpoints之后，Ocelot管道无法正常匹配转发规则，和默认端点路由逻辑冲突
• Token提取逻辑不严谨：未校验Authorization头的认证方案，会把Basic等其他认证头的内容误当做JWT查询黑名单，导致合法请求被误拦截返回401
• 直接写入响应的逻辑会被Ocelot后续管道覆盖：Ocelot默认会处理上下文响应状态，手动写入内容后没有终止管道后续处理，会导致状态码被重置

修正后完整代码 #

// 把Configure返回值从async void改为async Task
public async Task Configure(IApplicationBuilder app, IWebHostEnvironment env, IDistributedCache cache) {
    if (env.IsDevelopment()) {
        app.UseDeveloperExceptionPage();
    }

    app.UseRouting();

    app.UseCors();

    app.UseAuthentication();

    app.UseAuthorization();

    var configuration = new OcelotPipelineConfiguration {
        PreAuthorizationMiddleware = async (ctx, next) => {
            // 严谨的Token提取逻辑，只处理Bearer方案的请求
            if (ctx.Request.Headers.TryGetValue("Authorization", out var authHeader) 
                && authHeader.ToString().StartsWith("Bearer ", StringComparison.OrdinalIgnoreCase)) {
                string token = authHeader.ToString()["Bearer ".Length..].Trim();
                try {
                    string blacklistVal = await cache.GetStringAsync(token);
                    if (!string.IsNullOrEmpty(blacklistVal)) {
                        // 使用Ocelot原生错误机制返回，避免后续管道覆盖响应
                        ctx.Errors.Add(new UnauthorizedError("Token已作废"));
                        // 如果需要自定义响应格式可以用下方代码替换上面的错误注入
                        // ctx.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
                        // ctx.Response.ContentType = "application/json";
                        // await ctx.Response.WriteAsync("{\"message\":\"自定义错误信息\"}");
                        return;
                    }
                }
                catch (Exception ex) {
                    // Redis异常降级处理，避免Redis不可用导致全量请求失败
                    // 可根据业务需求调整，比如打日志后直接放行，或返回错误
                }
            }
            await next.Invoke();
        }
    };

    // 把UseOcelot移到UseEndpoints之前
    await app.UseOcelot(configuration);

    app.UseEndpoints(endpoints => {
        endpoints.MapGet("/", async context => {
            await context.Response.WriteAsync("Hello World!");
        });
    });
}

额外注意事项 #

• Redis中黑名单的key需要设置和JWT有效期一致的过期时间，避免Redis存储冗余数据
• 如果需要自定义响应格式，建议手动写入响应时显式设置ContentType，避免前端解析异常
• 生产环境建议给Redis查询加短时间本地缓存，降低Redis访问压力，比如本地缓存10s内的作废Token查询结果

内容的提问来源于stack exchange，提问作者João Pedro