将 ASP.NET Core 身份验证中间件配置为在 Authorization 标头无效时始终返回 401

Question

我创建了一个默认的 ASP.NET Core (2.1) 空 Web 应用程序，并添加了 JWT 不记名身份验证。 Startup.cs 类如下所示：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options =>
        {
            var keyByteArray = Convert.FromBase64String(Constants.JwtSecretKey);
            var signinKey = new SymmetricSecurityKey(keyByteArray);
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateAudience = true,
                ValidAudience = Constants.Audience,
                ValidateIssuer = true,
                ValidIssuer = Constants.Issuer,
                ValidateLifetime = true,
                ValidateIssuerSigningKey = true,
                IssuerSigningKey = signinKey
            };
        });

    services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_1);
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    app.UseAuthentication();
    app.UseMvc();
}

控制器如下所示：

[Route("values")]
[ApiController]
public class ValuesController : Controller
{
    [HttpGet("")]
    public IActionResult Get()
    {
        return new StatusCodeResult(StatusCodes.Status200OK);
    }
}

我希望我的端点在授权标头存在但无效（带有包含失败原因的错误消息）时返回 401 HTTP 状态代码 - 但在标头丢失时不返回。可以这样配置中间件吗？

我尝试处理来自 JwtBearerEvents 的 OnAuthenticationFailed 事件，但无法完成任何操作。

options.Events = new JwtBearerEvents()
{
    OnAuthenticationFailed = context =>
    {
        // Not fired when the Authorization header is "Bearer foo",
        // but fired when the header is "Bearer foo.bar.baz"
        return Task.CompletedTask;
    }
};

Answer 1

根据document，JwtBearerEvents 仅支持以下 4 种事件

1. OnAuthenticationFailed（这一项仅在 Token 无法通过身份验证后触发，在您的情况下，我认为您需要验证而不是身份验证）
2. 挑战赛
3. OnMessageReceived
4. OnTokenValidated（但这个只有在成功验证 Token 后才会触发，这就是为什么我认为它不适用于您的情况）

你想要的应该是类似 OnTokenValidateFailed 但它不存在，一种解决方法是注册 OnMessageReceived 事件并尝试在那里验证令牌

services.AddAuthentication("Bearer")
                .AddJwtBearer("Bearer", options =>
                {
                    options.Authority = "http://localhost:5000";
                    options.RequireHttpsMetadata = false;
                    options.Audience = "api1";
                    options.Events=new JwtBearerEvents(){
                        OnMessageReceived  =context=>{
                            var header =context.Request.Headers["Authorization"];
                            //Your validation logic here
                            //if validate failed
                            //{                           
                            //context.Response.StatusCode=401; 
                            //}                          
                            return Task.CompletedTask;
                        }
                    };
                });

这样您可以自己验证令牌，但是这种方法可能不会使整个请求管道短路，并且可能与其他中间件冲突（未经测试与其他中间件测试，但我认为这可能会发生）

另一种解决方法如下所示

在您的 API 项目的 start.cs 配置中添加以下代码

app.Use(async(context,next)=>{
                var authHeader=context.Request.Headers["Authorization"];
                //Your validation here
                if(validation failed)
                {
                  context.Response.StatusCode=401;
                  await context.Response.CompleteAsync();
                }
                else{
                await next.Invoke();}
            });

在 UseAuthenticate 之前添加这个以覆盖默认的 Authernticate 中间件

第一个 workaournd 将在 JwtBearerToken 身份验证时触发，而第二个 workaournd 将始终触发，因为它已在 asp.net 核心中间件管道中注册，因此您可以选择使用哪一个