ASP.NET Web API 2中GET请求未设置Bearer Claims Identity问题咨询

嘿，我之前在做.NET 4.7的Web API项目时也碰到过一模一样的问题——GET请求拿到的是Windows Identity，POST却能正常获取Bearer身份，核心原因大多和身份验证的执行优先级或者IIS的默认拦截行为有关，下面给你拆解清楚：

可能的原因 #

• IIS集成身份验证优先拦截GET请求：默认情况下，IIS的Windows集成身份验证（NTLM/Kerberos）会优先处理GET请求，尤其是当你的应用同时开启了Windows身份验证和OAuth Bearer验证时。GET请求通常不会触发预检请求（OPTIONS），IIS会直接接管身份验证流程，导致Web API的Bearer验证中间件根本没机会处理请求；而POST请求因为有请求体或者浏览器的默认行为，会让Bearer验证逻辑先执行。
• 身份验证中间件配置顺序错误：如果在Startup的ConfigureAuth方法里，Windows身份验证相关的配置（或者IIS模块）排在了Bearer验证之前，GET请求会被先一步的Windows身份验证处理，自然拿不到Bearer的Claim Identity。

具体解决办法 #

1. 调整Bearer验证的优先级，让它先执行 #

在Startup.Auth.cs的ConfigureAuth方法中，确保UseOAuthBearerAuthentication在任何其他身份验证配置之前注册，这样Web API会优先处理Bearer Token：

public void ConfigureAuth(IAppBuilder app)
{
    // 先配置Bearer验证，确保它是第一个执行的身份验证逻辑
    var oAuthBearerOptions = new OAuthBearerAuthenticationOptions();
    app.UseOAuthBearerAuthentication(oAuthBearerOptions);

    // 如果不需要Windows身份验证，可以直接注释掉相关配置
    // app.UseWindowsAuthentication();
}

2. 禁止IIS自动处理身份验证 #

在Web.config里设置authentication mode="None"，让Web API全权接管身份验证流程，避免IIS提前拦截GET请求：

<system.web>
  <!-- 禁用IIS的自动身份验证 -->
  <authentication mode="None" />
  <authorization>
    <!-- 拒绝匿名访问，确保所有请求都经过身份验证 -->
    <deny users="?" />
  </authorization>
</system.web>

同时在IIS站点的身份验证设置中，禁用Windows身份验证（如果不需要的话），彻底避免IIS干扰。

3. 检查GET请求的Token传递是否正确 #

虽然你说POST正常，但还是可以用Postman或者Fiddler确认GET请求的Authorization头是否正确携带了Bearer {你的Token}——有些客户端或者代理可能会意外过滤掉GET请求的自定义请求头，这也会导致验证失败。

4. 自定义Bearer验证逻辑（可选，针对需保留Windows身份验证的场景） #

如果你的业务必须同时支持Windows和Bearer身份验证，可以通过自定义OAuthBearerAuthenticationProvider来强制优先处理Bearer Token：

var oAuthBearerOptions = new OAuthBearerAuthenticationOptions
{
    Provider = new OAuthBearerAuthenticationProvider
    {
        OnValidateIdentity = context =>
        {
            // 这里可以添加自定义验证逻辑，确保Bearer Token优先被识别
            // 比如检查Authorization头是否存在，存在则优先使用Bearer身份
            if (!string.IsNullOrEmpty(context.Request.Headers.Get("Authorization")))
            {
                // 标记身份已验证，跳过后续的Windows身份验证
                context.Validated();
            }
            return Task.FromResult<object>(null);
        }
    }
};
app.UseOAuthBearerAuthentication(oAuthBearerOptions);

按照上面的步骤调整后，GET请求应该就能正常获取到Bearer Claim Identity了。

内容的提问来源于stack exchange，提问作者Logan Talbot