集成ASP.NET Core Identity与WebService及自定义身份提供者遇401问题

核心问题定位 #

登录接口能生成并返回合法JWT（jwt.io解析正常），但带[Authorize]的接口返回401，说明JWT验证阶段通过，但Identity身份标识映射或认证配置存在问题，大概率和自定义Identity提供者的实现细节、认证管道配置有关。

排查与修复步骤 #

1. 检查JWT验证配置与生成逻辑的一致性

确保Program.cs中JWT验证的参数和登录接口生成JWT时完全匹配，这是最常见的错误点：

// Program.cs 中的JWT验证配置
builder.Services.AddAuthentication(options =>
{
    // 明确设置默认认证/挑战Scheme为JWT（避免和Cookie认证冲突）
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(options =>
{
    options.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidIssuer = builder.Configuration["Jwt:Issuer"], // 必须和生成JWT时的Issuer一致
        ValidateAudience = true,
        ValidAudience = builder.Configuration["Jwt:Audience"], // 必须和生成JWT时的Audience一致
        ValidateIssuerSigningKey = true,
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"])), // 密钥完全匹配
        ValidateLifetime = true,
        ClockSkew = TimeSpan.Zero // 禁用时间偏差容错，避免服务器时间差导致的验证失败
    };
});

// 必须添加授权服务，且认证管道要在授权管道之前
builder.Services.AddAuthorization();
app.UseAuthentication();
app.UseAuthorization();

登录接口生成JWT时，要确保包含标准的sub（用户ID）声明：

var claims = new[]
{
    new Claim(JwtRegisteredClaimNames.Sub, user.Id), // 对应ClaimTypes.NameIdentifier
    new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
};

2. 验证自定义UserStore的关键方法实现

自定义UserStore必须正确实现FindByIdAsync和GetClaimsAsync，因为JWT验证通过后，Identity会通过这两个方法加载用户身份信息：

public class CustomUserStore : IUserStore<CustomUser>, IUserClaimStore<CustomUser>
{
    // 必须正确实现：根据用户ID从旧系统查询用户
    public async Task<CustomUser> FindByIdAsync(string userId, CancellationToken cancellationToken)
    {
        // 替换为你的旧系统查询逻辑，必须返回有效的CustomUser实例
        var oldUser = await _legacyUserService.GetUserById(userId);
        return oldUser != null ? MapLegacyUserToCustomUser(oldUser) : null;
    }

    // 必须正确实现：返回用户的核心Claims
    public async Task<IList<Claim>> GetClaimsAsync(CustomUser user, CancellationToken cancellationToken)
    {
        var claims = new List<Claim>
        {
            new Claim(ClaimTypes.NameIdentifier, user.Id),
            new Claim(ClaimTypes.Name, user.UserName)
            // 添加其他必要的自定义Claims
        };
        return claims;
    }

    // 其他IUserStore接口方法按需实现（如CreateAsync、UpdateAsync等，登录场景可能不需要，但必须实现接口）
}

注意：如果FindByIdAsync返回null，即使JWT合法，Identity也会判定身份无效，返回401。

3. 确保[Authorize]特性的Scheme匹配

如果系统同时配置了Cookie和JWT认证，必须在[Authorize]中明确指定JWT Scheme：

[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
[ApiController]
[Route("api/userinfo")]
public class UserInfoController : ControllerBase
{
    [HttpGet]
    public IActionResult GetUserInfo()
    {
        // 测试是否能获取用户ID
        var userId = User.FindFirstValue(ClaimTypes.NameIdentifier);
        return Ok(new { UserId = userId });
    }
}

4. 检查自定义User类的继承与字段

自定义User类必须继承IdentityUser（或实现IUser接口），且Id字段类型要和JWT中的sub声明一致：

// 示例：使用字符串类型Id（和默认Identity一致）
public class CustomUser : IdentityUser
{
    // 旧系统的自定义字段，如EmployeeId等
    public string EmployeeId { get; set; }
}

如果使用非字符串类型的Id（如int），需要在AddIdentity时明确指定类型：

builder.Services.AddIdentity<CustomUser, IdentityRole<int>>()
    .AddUserStore<CustomUserStore>()
    .AddDefaultTokenProviders();

快速验证技巧 #

1. 在UserInfo接口中暂时移除[Authorize]，手动解析请求头中的JWT，验证sub声明是否正确：

[HttpGet]
public IActionResult GetUserInfo()
{
    var token = Request.Headers["Authorization"].ToString().Replace("Bearer ", "");
    var handler = new JwtSecurityTokenHandler();
    var jwtToken = handler.ReadJwtToken(token);
    var userId = jwtToken.Claims.First(c => c.Type == JwtRegisteredClaimNames.Sub).Value;
    // 手动调用CustomUserStore的FindByIdAsync，看是否能获取到用户
    var user = await _userStore.FindByIdAsync(userId, CancellationToken.None);
    return Ok(new { UserId = userId, UserExists = user != null });
}

如果UserExists为false，直接定位到FindByIdAsync的实现问题。

内容的提问来源于stack exchange，提问作者Wallace B. McClure