.Net Core 2 WebAPI返回405而非401(OIDC)的解决方法咨询

我之前在处理.NET Core 2 WebAPI搭配OIDC身份认证的时候，也遇到过一模一样的问题——用户登出后访问带[Authorize]的API接口，返回的是405而不是预期的401。核心原因其实是.NET Core默认的身份验证逻辑会尝试重定向到登录页面（这是为MVC场景设计的），但API请求通常是POST/PUT等非GET方法，重定向的GET请求和原请求方法不匹配，就会返回405。下面给你几个靠谱的解决方案：

这是最直接的解决方案，因为问题根源就在于登录重定向导致的请求方法变更。我们可以通过配置CookieAuthentication的事件，在需要重定向到登录页的时候，直接返回401状态码，跳过重定向流程。

在Startup.cs的ConfigureServices方法中，调整你的身份认证配置：

using Microsoft.AspNetCore.Authentication.Cookies;
using Microsoft.AspNetCore.Authentication.OpenIdConnect;

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(options =>
    {
        options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
    })
    .AddCookie(options =>
    {
        // 处理登录重定向事件，直接返回401
        options.Events = new CookieAuthenticationEvents
        {
            OnRedirectToLogin = context =>
            {
                // 只针对API路径处理，避免影响MVC页面（如果有的话）
                if (context.Request.Path.StartsWithSegments("/api"))
                {
                    context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                    // 可选：添加WWW-Authenticate响应头，符合HTTP规范
                    context.Response.Headers.Add("WWW-Authenticate", "Bearer");
                    return Task.CompletedTask;
                }
                // 非API请求还是走默认重定向逻辑
                return context.Response.Redirect(context.RedirectUri);
            },
            // 同样处理权限不足的情况，返回403而不是重定向
            OnRedirectToAccessDenied = context =>
            {
                if (context.Request.Path.StartsWithSegments("/api"))
                {
                    context.Response.StatusCode = StatusCodes.Status403Forbidden;
                    return Task.CompletedTask;
                }
                return context.Response.Redirect(context.RedirectUri);
            }
        };
    })
    .AddOpenIdConnect(options =>
    {
        // 你的OIDC配置信息，根据实际情况填写
        options.Authority = "https://your-oidc-provider-url.com";
        options.ClientId = "your-client-id";
        options.ResponseType = "code id_token";
        options.SaveTokens = true;
        // 其他OIDC相关配置...
    });

    services.AddMvc();
}

这个方案的优势是完全利用框架原生的事件机制，精准控制API请求的未授权响应行为，不会影响非API的请求流程。

如果方案1没有解决你的问题（比如某些边缘场景下身份验证中间件没有触发重定向事件），可以通过自定义中间件来兜底，统一检查API请求的响应状态码，将错误的405修正为401。

首先创建中间件类：

using Microsoft.AspNetCore.Http;
using System.Threading.Tasks;

public class ApiUnauthorizedMiddleware
{
    private readonly RequestDelegate _next;

    public ApiUnauthorizedMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task Invoke(HttpContext context)
    {
        // 先让后续中间件处理请求
        await _next(context);

        // 只处理API路径下的响应
        if (context.Request.Path.StartsWithSegments("/api"))
        {
            // 检查是否是未认证用户且返回了405
            if (!context.User.Identity.IsAuthenticated && 
                context.Response.StatusCode == StatusCodes.Status405MethodNotAllowed)
            {
                context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                context.Response.Headers.Add("WWW-Authenticate", "Bearer");
            }
        }
    }
}

然后在Startup.cs的Configure方法中，将这个中间件注册到UseAuthentication之后：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 其他中间件配置...
    app.UseAuthentication();
    // 注册自定义中间件
    app.UseMiddleware<ApiUnauthorizedMiddleware>();
    app.UseMvc();
}

这个中间件会在请求处理完成后，检查API路径下的响应，如果用户未认证且返回了405，就将状态码改为401，确保前端收到预期的未授权信号。

有时候OIDC的挑战逻辑也会导致重定向，我们可以在OIDC的事件中直接拦截API请求的挑战，返回401：

在AddOpenIdConnect的配置中添加事件处理：

.AddOpenIdConnect(options =>
{
    // 其他OIDC配置...
    options.Events = new OpenIdConnectEvents
    {
        OnRedirectToIdentityProvider = context =>
        {
            // 如果是API请求，直接返回401，不重定向到OIDC提供商
            if (context.Request.Path.StartsWithSegments("/api"))
            {
                context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                context.Response.Headers.Add("WWW-Authenticate", "Bearer");
                // 终止后续的重定向逻辑
                context.HandleResponse();
            }
            return Task.CompletedTask;
        }
    };
});

这个方案主要针对OIDC挑战触发的重定向，和方案1配合使用效果更好。

内容的提问来源于stack exchange，提问作者Takhir Mamirov