使用Web API OWIN JWT Token无法认证Windows Forms桌面应用

我之前在做类似的WinForms调用OAuth2 API的项目时，也碰到过一模一样的问题！结合你的代码来看，主要是这几个地方没踩对坑，调整后就能解决：

1. OAuth密码模式默认只认x-www-form-urlencoded格式的请求体 #

OAuth2的密码模式（Resource Owner Password Credentials Grant），OWIN的OAuth中间件默认只接受表单格式的请求体，而不是你现在用的JSON格式。你用PostAsJsonAsync或者WebClient.UploadString传JSON的话，中间件根本识别不到grant_type、username这些核心参数，自然不会进入GrantResourceOwnerCredentials环节。

修复方案：改用表单格式传递参数 #

修改你的HttpClient调用代码，用FormUrlEncodedContent来构造请求体：

public async Task<LoginResponseModel> Authenticate(LoginRequestModel applicationUser)
{
    var client = new HttpClient();
    try
    {
        // 严格按照OAuth规范构造表单参数
        var formParams = new List<KeyValuePair<string, string>>
        {
            new("grant_type", "password"), // 注意参数名是全小写的grant_type，值也是小写password
            new("username", applicationUser.UserName),
            new("password", applicationUser.Password)
        };

        // 确认API端点路径和你Startup里配置的TokenEndpointPath一致
        var response = await client.PostAsync(Context.ApiUrl + "Authenticate", new FormUrlEncodedContent(formParams));
        
        if (response.IsSuccessStatusCode)
        {
            var responseJson = await response.Content.ReadAsStringAsync();
            return JsonConvert.DeserializeObject<LoginResponseModel>(responseJson);
        }
        
        // 可选：处理错误响应，比如打印错误信息
        var errorDetails = await response.Content.ReadAsStringAsync();
        Console.WriteLine($"认证失败：{errorDetails}");
        return null;
    }
    catch (Exception ex)
    {
        // 异常处理逻辑
        Console.WriteLine($"请求出错：{ex.Message}");
        return null;
    }
}

另外要确认你的API端ConfigureOAuthTokenGeneration里的TokenEndpointPath是/Authenticate，和你调用的路径一致：

public void ConfigureOAuthTokenGeneration(IAppBuilder app)
{
    var oAuthOptions = new OAuthAuthorizationServerOptions
    {
        AllowInsecureHttp = true, // 生产环境务必改成false
        TokenEndpointPath = new PathString("/Authenticate"), // 这里要和请求路径匹配
        AccessTokenExpireTimeSpan = TimeSpan.FromDays(1),
        Provider = new CustomOAuthProvider()
    };
    
    app.UseOAuthAuthorizationServer(oAuthOptions);
    app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions());
}

2. 请求参数名必须严格匹配OAuth规范 #

你的LoginRequestModel里的Grant_type属性，序列化后会变成"Grant_type"（首字母大写），但OAuth规范要求的是全小写的grant_type，参数名不匹配的话，中间件同样识别不到，会直接跳过GrantResourceOwnerCredentials。

如果非要用JSON格式传递（不推荐，不符合标准），可以用JsonProperty特性强制指定参数名：

public class LoginRequestModel {
    [JsonProperty("grant_type")]
    public string Grant_type { get; set; } = "password";
    [JsonProperty("username")]
    public string UserName { get; set; }
    [JsonProperty("password")]
    public string Password { get; set; }
}

但还是强烈建议用表单格式，这是OAuth密码模式的标准做法。

3. 调整Startup类的中间件配置顺序 #

你的Startup里的中间件加载顺序有问题，OWIN中间件是按注册顺序执行的，正确的顺序应该是先配置OAuth相关，再配置Web API：

public partial class Startup {
    public void Configuration(IAppBuilder app) {
        var httpConfig = new HttpConfiguration();
        
        // 1. 先配置OAuth Token生成
        ConfigureOAuthTokenGeneration(app);
        // 2. 再配置OAuth Token消费
        ConfigureOAuthTokenConsumption(app);
        // 3. 配置Web API路由等
        ConfigureWebApi(httpConfig);
        // 4. 最后将Web API加入管道
        app.UseWebApi(httpConfig);
        
        // 如果ConfigureAuth里是Cookie认证等，要放在OAuth之前，避免冲突
        // ConfigureAuth(app);
    }
}

错误的顺序会导致请求还没走到OAuth中间件就被其他中间件处理了，自然触发不了后续的认证流程。

最后验证步骤 #

1. 先用Postman测试：发送POST请求到/Authenticate，选择x-www-form-urlencoded格式，传入grant_type=password、username=你的账号、password=你的密码，确认能正常返回token，确保API端没问题。
2. 修改WinForms的请求代码后，在API端的ValidateClientAuthentication里加断点，检查context.Request.Form里是否能拿到正确的参数，如果能拿到，就会自动进入GrantResourceOwnerCredentials了。

这样调整之后，应该就能解决你的问题啦！

内容的提问来源于stack exchange，提问作者EduLopez