AspNet Core 2 REST API设置JWT Token后仍返回401 Unauthorized排查

我来帮你一步步梳理排查思路，你的JWT认证返回401但Authorization头格式正确，大概率是Token验证参数配置不全或中间件逻辑有问题，咱们逐个击破：

1. 补全TokenValidationParameters的核心验证参数 #

你当前的配置只开启了签名密钥验证，但默认情况下JWT Bearer认证会强制验证Issuer（发行方）、Audience（受众）和Token有效期。如果你的Token里包含这些声明，但服务端没配置对应参数，就会直接验证失败。

可以先临时关闭Issuer和Audience验证，测试是否能通过：

_.TokenValidationParameters = new TokenValidationParameters
{
    ValidateIssuerSigningKey = true,
    IssuerSigningKey = key,
    ValidateIssuer = false, // 临时关闭发行方验证
    ValidateAudience = false, // 临时关闭受众验证
    ValidateLifetime = true, // 确保Token未过期（默认开启）
    ClockSkew = TimeSpan.Zero // 关闭时钟偏移容忍，避免过期Token误判
};

如果这样能正常通过认证，说明你需要把Issuer和Audience配置成与生成Token时一致的值，比如：

ValidIssuer = "你的Token发行方",
ValidAudience = "你的Token受众",

2. 确认签名算法与Token生成端一致 #

检查生成Token时使用的签名算法是否和服务端匹配：

• 如果你用SymmetricSecurityKey，生成Token时必须用SecurityAlgorithms.HmacSha256（或同系列HMAC算法）；
• 如果生成端用了RS256等非对称算法，服务端必须配置对应的AsymmetricSecurityKey，而不是对称密钥。

3. 打印认证失败的具体异常信息 #

最直接的方式是在JWT Bearer事件中添加日志，拿到具体的错误原因，比如签名不匹配、Token过期、Issuer不匹配等：

_.Events = new JwtBearerEvents
{
    OnAuthenticationFailed = context =>
    {
        // 这里输出日志，比如写入控制台或日志框架
        Console.WriteLine($"认证失败原因：{context.Exception.Message}");
        return Task.CompletedTask;
    },
    OnChallenge = context =>
    {
        Console.WriteLine($"Challenge触发：{context.ErrorDescription}");
        return Task.CompletedTask;
    }
};

通过这些日志，你能精准定位到哪一步验证失败。

4. 检查中间件注册顺序 #

确保Startup中的中间件顺序正确，认证中间件必须在授权中间件之前，且CORS中间件要在认证之前：

app.UseCors();
app.UseAuthentication(); // 先认证
app.UseAuthorization(); // 后授权
app.UseMvc();

顺序错误会导致认证逻辑无法被触发，直接返回401。

5. 验证实际接收的Authorization头 #

即使你说格式正确，也可以在控制器中打印实际收到的请求头，确认没有被代理、网关或前端代码篡改：

[HttpGet]
public IActionResult Test()
{
    var authHeader = Request.Headers["Authorization"].ToString();
    Console.WriteLine($"收到的Authorization头：{authHeader}");
    return Ok();
}

确认格式是Bearer {你的Token字符串}，没有多余空格或特殊字符。

内容的提问来源于stack exchange，提问作者DonkeyBanana