.NET Core 2.0 MVC应用兼容Cookie与Bearer认证的配置问题求助

我完全理解你的需求——既要保留MVC应用的Hybrid模式Cookie认证，又要让JS客户端能通过Bearer令牌调用项目内的API控制器。其实只需要调整认证配置，同时支持两种认证方案，并针对API控制器指定使用Bearer即可，具体步骤如下：

1. 更新认证服务配置，同时注册Cookie和Bearer认证 #

在Startup.cs的ConfigureServices方法里，你需要在现有Hybrid模式配置的基础上，添加AddIdentityServerAuthentication来支持Bearer令牌验证。注意默认认证方案还是保留Cookie（因为MVC页面需要基于Cookie的登录），单独为Bearer指定一个Scheme：

services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = "oidc";
})
.AddCookie("Cookies")
.AddOpenIdConnect("oidc", options =>
{
    // 你现有的OIDC配置，比如：
    options.Authority = "http://localhost:4444"; // 你的IdentityServer地址
    options.ClientId = "mvc_hybrid_client";
    options.ClientSecret = "your_client_secret";
    options.ResponseType = "code id_token";
    options.SaveTokens = true;
    // 其他原有配置...
})
.AddIdentityServerAuthentication("Bearer", options =>
{
    options.Authority = "http://localhost:4444"; // 同一IdentityServer地址
    options.RequireHttpsMetadata = false; // 开发环境可设为false，生产环境务必改为true
    options.ApiName = "your_api_resource_name"; // 必须和IdentityServer中配置的API资源名称一致
});

2. 确保CORS配置正确（允许携带凭证） #

你之前已经配置了CORS，但需要确认是否添加了AllowCredentials()，因为JS客户端发送Bearer令牌时需要携带跨域凭证。调整CORS配置如下：

services.AddCors(options =>
{
    options.AddPolicy("AllowJsClient", policy =>
    {
        policy.WithOrigins("http://localhost:5003") // 你的JS客户端地址
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 这个是关键，必须加上才能让跨域请求携带Bearer令牌
    });
});

然后在Configure方法中，必须把UseCors放在UseAuthentication之前，否则CORS头无法正确添加：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 其他中间件...
    app.UseCors("AllowJsClient");
    app.UseAuthentication();
    app.UseMvc();
}

3. 给API控制器指定使用Bearer认证方案 #

因为项目默认的认证方案是Cookie，所以需要在API控制器的[Authorize]特性里明确指定使用Bearer Scheme：

[Authorize(AuthenticationSchemes = "Bearer")]
[Route("api/[controller]")]
[ApiController]
public class TestIdentityController : ControllerBase
{
    [HttpGet]
    public IActionResult Get()
    {
        return Ok(new { UserId = User.FindFirst(ClaimTypes.NameIdentifier)?.Value });
    }
}

关键注意事项 #

• 确认IdentityServer中已经正确配置了对应的API资源，并且JS客户端（Implicit模式）已经被授权访问该API资源。
• 生产环境下，务必将RequireHttpsMetadata设为true，保证通信安全。
• 如果你有多个API控制器，可以创建一个自定义的[AuthorizeBearer]特性来统一指定Scheme，避免重复代码。

这样配置后，你的MVC页面依然可以通过Hybrid模式正常登录，JS客户端也能通过Bearer令牌调用API控制器，同时解决了CORS的问题。

内容的提问来源于stack exchange，提问作者user2159200