Identity Server 4：特定控制器返回401而非跳转登录页

我来帮你搞定这个问题——在你的SSO IdentityProvider应用里，要让API接口在未认证时返回401 Unauthorized而不是重定向到登录页，关键是要区分MVC页面（比如登录、控制台）和API控制器的认证行为，因为默认的Cookie认证方案会触发重定向，而我们需要给API单独配置JWT Bearer认证方案，具体步骤如下：

1. 配置双认证方案（Cookie + JWT Bearer） #

在你的Program.cs（或者.NET 5及更早版本的Startup.cs）中，同时配置Cookie认证（供MVC页面使用，保持重定向逻辑）和JWT Bearer认证（供API控制器使用，返回401）：

using Microsoft.AspNetCore.Authentication.Cookies;
using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.IdentityModel.Tokens;

var builder = WebApplication.CreateBuilder(args);

// 添加认证服务
builder.Services.AddAuthentication(options =>
{
    // 默认认证方案用Cookie，适配MVC页面的登录流程
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = CookieAuthenticationDefaults.AuthenticationScheme;
})
// Cookie认证配置（保持原有的MVC重定向逻辑）
.AddCookie(options =>
{
    options.LoginPath = "/Account/Login"; // 你的登录页路径
    options.AccessDeniedPath = "/Account/AccessDenied";
})
// JWT Bearer认证配置（供API使用）
.AddJwtBearer(options =>
{
    options.Authority = "https://sso.app.com"; // 你的IdentityServer地址
    options.Audience = "api.users"; // 你在IdentityServer中注册的API资源名称
    options.RequireHttpsMetadata = true; // 生产环境务必开启HTTPS

    // 令牌验证参数
    options.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidateAudience = true,
        ValidateLifetime = true,
        ValidateIssuerSigningKey = true
    };
});

// 添加控制器服务
builder.Services.AddControllers();
// 其他服务配置（比如IdentityServer、MVC等）...

var app = builder.Build();

// 中间件配置
app.UseHttpsRedirection();
app.UseRouting();

// 必须先启用认证，再启用授权
app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();
app.MapDefaultControllerRoute(); // MVC路由

app.Run();

2. 给API控制器指定JWT Bearer认证方案 #

你有两种方式让API控制器使用JWT Bearer认证：

方式一：单个控制器/方法指定 #

在你的API控制器上添加[Authorize]特性，并明确指定认证方案：

using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;

[ApiController]
[Route("api/[controller]")]
[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
public class UsersController : ControllerBase
{
    [HttpGet]
    public IActionResult GetUsers()
    {
        // 返回你的用户数据
        return Ok(new List<string> { "user1@example.com", "user2@example.com" });
    }
}

方式二：全局配置所有API控制器 #

如果你的应用中有多个API控制器，想统一应用这个规则，可以在添加控制器服务时配置全局授权过滤器：

builder.Services.AddControllers(options =>
{
    // 创建一个要求使用JWT Bearer认证且必须登录的策略
    var apiAuthPolicy = new AuthorizationPolicyBuilder()
        .AddAuthenticationSchemes(JwtBearerDefaults.AuthenticationScheme)
        .RequireAuthenticatedUser()
        .Build();

    // 将策略应用到所有控制器
    options.Filters.Add(new AuthorizeFilter(apiAuthPolicy));
});

关键原理说明 #

ASP.NET Core的认证系统中，不同的认证方案对应不同的挑战行为：

• Cookie认证方案默认会将未认证请求重定向到登录页，这是为MVC页面设计的交互逻辑；
• JWT Bearer认证方案默认会返回401 Unauthorized响应，这符合REST API的设计规范。

你之前尝试用策略但没达到效果，大概率是因为策略没有关联JWT Bearer认证方案，导致默认还是用Cookie方案触发重定向。通过明确指定认证方案，就能让API控制器的未认证请求返回401。

额外注意事项 #

• 确保你已经在IdentityServer中正确注册了api.users这个API资源，并且客户端拥有访问该资源的权限；
• 测试API时，要在请求头中携带有效的JWT令牌（格式：Authorization: Bearer {token}），否则会返回401；
• 如果你的API需要支持匿名访问的接口，可以在对应方法上添加[AllowAnonymous]特性。

内容的提问来源于stack exchange，提问作者SeanM