WPF应用调用带Bearer令牌的Web API返回401未授权求助

我梳理了你的代码和场景，发现几个可能导致401错误的关键点，咱们一步步来排查：

1. API路由配置存在冲突 #

先看你的MoviesController路由代码：

[Authorize(AuthenticationSchemes = "Bearer")]
[Route("movies")]
public class MoviesController : ControllerBase
{
    [HttpGet]
    [Route("/get")] // 这里的斜杠是关键！
    public IActionResult Get()
    {
        // ...
    }
}

[Route("/get")]开头的斜杠表示这是绝对路由，意味着这个接口的实际地址是http://localhost:5001/get，但你的WPF代码里请求的是http://localhost:5001/movies/get（通过BaseAddress + "get"拼接而成），两者路径不匹配。

虽然这种情况通常返回404，但如果API有全局认证拦截逻辑，也可能返回401。修复方法：把[Route("/get")]改成[Route("get")]（去掉开头的斜杠），这样接口地址就会和你WPF的请求路径一致。

2. 确认请求头是否正确携带Bearer令牌 #

虽然你提到令牌有效，但还是要验证WPF客户端是否真的把Authorization头发送出去了：

• 用Fiddler/Charles抓包，查看请求Headers里是否包含Authorization: Bearer {你的令牌}
• 在WPF代码里临时添加日志，输出client.DefaultRequestHeaders.Authorization的值，确认令牌正确注入

另外，你的WPF代码里创建了两个HttpClient实例，完全没必要，简化后的代码更清晰：

private async void button1_Click(object sender, RoutedEventArgs e)
{
    var accessToken = token;
    using (var client = new HttpClient())
    {
        client.BaseAddress = new Uri("http://localhost:5001/");
        client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
        client.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));
        
        HttpResponseMessage response = await client.GetAsync("movies/get"); // 对应修复后的路由
        var content = await response.Content.ReadAsStringAsync();
        MessageBox.Show(content);
    }
}

3. 验证令牌的受众(Audience)是否匹配 #

你的API在Startup里配置了options.ApiName = "fiver_auth_api";，这表示API只接受受众为fiver_auth_api的令牌。你需要：

• 用JWT解析工具（比如jwt.io）解析你的令牌，查看aud字段的值是否等于fiver_auth_api
• 如果不匹配，检查IdentityServer的API资源配置，确保Name设置为fiver_auth_api，同时客户端请求令牌时指定了包含该API的scope

4. 检查IdentityServer相关配置 #

• 确认运行在5000端口的IdentityServer服务正常，API能正常访问它获取密钥来验证令牌
• 检查令牌是否过期：解析令牌查看exp字段，确认当前时间在过期时间之前
• 确认RequireHttpsMetadata = false仅在开发环境设置（你当前是开发环境，没问题）

5. 确认认证中间件顺序 #

你的Startup.Configure里已经正确把app.UseAuthentication();放在app.UseMvcWithDefaultRoute();之前，这是正确的——认证中间件必须在Mvc之前执行，才能在处理请求前完成身份验证。

按照上面的步骤排查，最可能的问题就是路由配置错误，先优先修复这个点，应该能解决401的问题。

内容的提问来源于stack exchange，提问作者Alexandra Damaschin