使用Identity Server 4与.NET Core Identity时API无授权头仍获授权问题

哇，这问题确实有点离谱——带Access Token时API过了授权却拿不到Claim也就算了，现在把Token从请求头里删掉居然还能通过授权，这说明API的身份验证逻辑肯定有漏洞，咱们一步步拆解排查！

先紧急解决「无Token仍能授权」的问题 #

这明显是API的身份验证机制没生效，先从这几个方向查：

• 检查API的授权中间件配置
  比如在ASP.NET Core里，是不是漏加了身份验证的核心配置？或者中间件顺序错了？

  • 确认有没有在Program.cs里添加：

    services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options =>
        {
            options.Authority = "你的Identity Server地址";
            options.Audience = "你的API资源名称";
        });
    

  • 确认app.UseAuthentication()是在app.UseAuthorization()之前调用的，顺序错了会导致授权逻辑跳过身份验证。
  • 检查你的控制器/接口是不是不小心加了[AllowAnonymous]特性——如果加了，不管有没有Token都会允许访问！

• 排查浏览器Cookie的影响
  如果你的Vue SPA、Identity Server和API在同一个域下，可能之前的登录会话留下了Cookie，API同时启用了Cookie认证（比如和Identity Server共享Cookie），导致即使没带JWT Token，Cookie也自动完成了授权。可以打开浏览器开发者工具的「Application」面板，清空相关域的Cookie，再用隐私窗口测试。

• 确认请求拦截器真的移除了Token
  你提到修改了拦截器代码，一定要确认实际请求里确实没有Authorization: Bearer xxx头：

  1. 打开浏览器「Network」面板，发起API请求
  2. 查看请求的「Headers」，确认没有Authorization字段
  3. 检查拦截器代码是不是真的正确移除了：

     service.interceptors.request.use(config => {
         // 彻底移除Authorization头
         delete config.headers.Authorization;
         // 或者不要设置它，避免残留旧Token
         return config;
     });
     

  测试前记得清一下浏览器缓存，避免旧的请求拦截器代码生效。

再解决「带Token时API拿不到Claim」的问题 #

等把无Token授权的问题搞定，再回头处理Claim的问题，从这几点入手：

• 先验证Access Token本身的内容
  把你的Access Token复制到JWT解析工具里，看Payload里有没有你需要的Claim。如果Token里就没有对应的Claim，那问题出在Identity Server的配置：

  • 检查Identity Server的Identity Resource，确认你需要的Claim（比如name、email）已经添加到资源里
  • 检查客户端配置的AllowedScopes，有没有包含对应的Scope（比如profile、email）
  • 确认客户端请求Token时，已经申请了这些Scope（Vue里的OIDC配置里的scope字段要包含这些值）

• 检查API的Claim映射配置
  ASP.NET Core默认会把JWT的Claim名称映射成Microsoft的标准格式，比如sub会变成http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier。如果你直接用User.FindFirst("sub")就会找不到，解决方法有两个：

  1. 使用ClaimTypes常量来获取：

     var userId = User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
     

  2. 关闭自动Claim映射：

     services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
         .AddJwtBearer(options =>
         {
             options.MapInboundClaims = false; // 关闭映射，保留原始Claim名称
             options.Authority = "你的Identity Server地址";
             options.Audience = "你的API资源名称";
         });
     

• 检查API的授权策略
  如果你的API用了自定义授权策略，确认策略里的Claim要求是正确的，有没有拼写错误或者Scope匹配问题。

测试步骤建议 #

1. 用隐私窗口打开Vue SPA，确保没有旧会话干扰
2. 登录成功后，先复制Access Token，解析确认Claim存在
3. 调用API时，用拦截器加上Token，查看Network面板确认Authorization头存在
4. 在API里调试，打印User.Claims看看所有Claim列表，确认有没有你需要的内容
5. 再移除Token，确认API返回401未授权，验证身份验证机制生效

内容的提问来源于stack exchange，提问作者Rasik