ASP.NET Core 2.0 JWT认证：未绑定当前用户，需允许匿名与登录用户访问接口

首先得明确问题根源：你设置了DefaultAuthenticateScheme为JwtBearer，但当接口没有添加[Authorize]特性时，ASP.NET Core的认证中间件不会主动触发JWT令牌的验证流程，所以User.Claims自然是空的。而你需要的是接口既允许匿名访问，又能在请求携带合法JWT时自动解析并填充用户身份信息，下面给你两种可行的方案：

方案一：接口级组合特性（最简单直接） #

不需要修改Startup配置，只需要在目标接口上同时添加[AllowAnonymous]和指定Scheme的[Authorize]特性：

[AllowAnonymous]
[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
public IActionResult MyPublicApi()
{
    // 匿名请求进来时，User.Identity.IsAuthenticated为false，Claims为空
    // 携带合法JWT时，IsAuthenticated为true，Claims会被正常填充
    var userClaims = User.Claims;
    // 你的业务逻辑...
    return Ok();
}

原理很简单：[AllowAnonymous]会放行未认证的请求，而[Authorize]会触发JWT认证流程——有合法令牌就解析填充User，没有也不会拒绝访问，完美满足你的需求。

方案二：全局配置调整（适合全接口统一规则） #

如果你希望所有接口都默认支持“允许匿名但自动解析JWT”的行为，可以调整Startup里的认证配置：

services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(options =>
{
    options.TokenValidationParameters = JwtConfigs.ValidationParameters;
    // 让中间件对所有请求都尝试解析JWT
    options.AutomaticAuthenticate = true;
    // 关闭自动挑战，避免匿名请求被拒绝
    options.AutomaticChallenge = false;
});

配置完成后，不需要给匿名接口加任何特性，它们会自动允许匿名访问，同时如果请求携带合法JWT，User.Claims会被正常填充。而需要强制认证的接口，只需要单独添加[Authorize]即可。

注意事项 #

• 两种方案都依赖JWT令牌本身合法有效（签名正确、未过期、符合你设置的TokenValidationParameters规则），否则User.Claims还是会为空。
• 可以通过User.Identity.IsAuthenticated属性来区分当前请求是匿名用户还是已认证用户。

内容的提问来源于stack exchange，提问作者SHM