.NET Core v2中IdentityModel无法触发Token Introspection问题排查

看起来你踩了.NET Core 2.x认证配置里最容易忽略的一个点——没有在请求管道中启用认证中间件！这就是为什么你的Token Introspection完全没触发，User.Identity.IsAuthenticated一直返回false的核心原因。

1. 必须在Configure方法中添加app.UseAuthentication() #

在.NET Core 2.x中，services.AddAuthentication()只是把认证服务注册到DI容器里，但不会自动把认证逻辑加入到请求处理流程中。你需要在Startup.cs的Configure方法里显式调用app.UseAuthentication()，而且要确保它在app.UseMvc()之前执行，这样每个请求都会先经过认证中间件的处理。

修改后的Startup.cs应该包含完整的Configure方法：

public void ConfigureServices(IServiceCollection services)
{
    services.AddMvc();

    services.AddAuthentication(OAuth2IntrospectionDefaults.AuthenticationScheme)
        .AddOAuth2Introspection(options =>
        {
            options.IntrospectionEndpoint = "#REDACTED#";
            options.ClientId = "#REDACTED#";
            options.ClientSecret = "#REDACTED#";
        });
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }

    // 关键：启用认证中间件，必须在UseMvc之前
    app.UseAuthentication();

    app.UseMvc();
}

2. 给控制器/方法添加[Authorize]特性 #

你之前尝试过加这个但没效果，那是因为当时认证中间件根本没启用。现在启用中间件后，加上[Authorize]才会触发认证流程——它会告诉框架这个端点需要认证，进而触发Token Introspection的逻辑：

[Authorize]
[HttpGet]
public IEnumerable<string> Get()
{
    return new string[] { "isAuthenticated", $"{User.Identity.IsAuthenticated}" };
}

额外的排查建议 #

如果做完上面两步还是有问题，可以试试这些：

• 确认IntrospectionEndpoint的URL绝对正确，能直接通过Postman之类的工具访问到你的OIDC服务器的 introspection 端点
• 检查ClientId和ClientSecret是否拥有访问introspection端点的权限（有些OIDC服务器需要给客户端显式配置这个权限）
• 开启IdentityModel的调试日志，看看请求有没有发送、有没有报错。在appsettings.json里添加：

  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft": "Warning",
      "Thinktecture.IdentityModel.OAuth2Introspection": "Debug"
    }
  }
  

• 确认请求的Authentication Header格式正确，是Bearer <你的Token>的形式，没有拼写错误或者多余的空格

这样应该就能让你的Token Introspection正常触发了！

内容的提问来源于stack exchange，提问作者reidLinden