Oracle Web API 默认基于 .NET Core/.NET 6+，认证由 AddJwtBearer 等中间件实现，与 Oracle 数据库连接分离；需确保中间件顺序正确、JWT 参数匹配、密钥算法一致。
Oracle Web API 用的是 .NET Core 还是 .NET Framework？
这是第一个必须确认的问题。.net core（含 .net 5+）和 .net framework 的身份认证模型完全不同：addauthentication 在 core 里是中间件驱动、基于 microsoft.aspnetcore.authentication，而 framework 通常依赖 system.identitymodel.tokens.jwt 或 windows 集成认证，且没有统一的 startup.cs 配置入口。
绝大多数新项目用的是 .NET Core / .NET 6+，所以后续默认按这个路径说明。如果你还在维护老系统，得先查清 TargetFramework 是 net472 还是 net6.0 —— 混用包会导致 InvalidOperationException: No authentication handler is registered 这类错误。
Oracle 数据库本身不参与身份认证，别在连接字符串里加“认证逻辑”
常见误区：以为要在 Oracle 连接字符串里配用户名密码来“做认证”。实际上，Web API 的身份认证和数据库访问是两层事：OracleConnection 负责连库，Bearer 或 Cookie 认证负责验证 HTTP 请求合法性。数据库只管执行已授权用户的查询，不校验 JWT 或 session。
正确做法是：
- 在 API 层用
AddJwtBearer或AddCookie验证请求头或 Cookie - 认证通过后，再用独立的 Oracle 连接凭据（如配置在
appsettings.json的Oracle:ConnectionString）去查库 - 不要把用户登录凭据（比如前端传来的账号密码）直接拼进 Oracle 连接字符串——这属于硬编码凭据 + SQL 注入高危操作
JWT Bearer 认证怎么配才不报 Invalid token？
Oracle Web API 接 JWT 最容易卡在密钥和算法不匹配。.NET Core 默认用 HS256，但如果你的令牌由 Oracle Identity Cloud Service（IDCS）或 Azure AD 发放，可能默认是 RS256，这时必须显式指定 TokenValidationParameters 并加载公钥。
关键配置点：
- 检查
Issuer和Audience是否和发 token 的服务完全一致（注意末尾斜杠、大小写） -
ValidateIssuerSigningKey设为true，否则会跳过签名验证，导致伪造 token 也能过 - 如果是 RS256，用
RSA.Create().ImportFromPem加载 PEM 格式公钥，别用new SymmetricSecurityKey - 时间偏差要设宽容值：
clockSkew = TimeSpan.FromMinutes(5)，否则服务器和客户端时间差几秒就报The token has expired
示例片段（.NET 6+）：
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(options =>
{
options.TokenValidationParameters = new TokenValidationParameters
{
ValidateIssuerSigningKey = true,
IssuerSigningKey = new RsaSecurityKey(rsaPublicKey),
ValidateIssuer = true,
ValidIssuer = "https://idcs-xxxx.identity.oraclecloud.com/",
ValidateAudience = true,
ValidAudience = "my-api-client-id",
ClockSkew = TimeSpan.FromMinutes(5)
};
});
为什么加了 [Authorize] 却 401，但日志里没报错？
最常被忽略的是中间件顺序。.NET Core 中间件执行顺序极其关键：UseAuthentication() 必须在 UseAuthorization() 之前，且两者都必须放在 UseRouting() 之后、UseEndpoints() 之前。
典型错误顺序：
-
UseAuthentication()放在UseEndpoints()后 → 认证根本没运行 - 漏掉
UseRouting()→EndpointRoutingMiddleware没初始化，[Authorize]元数据不生效 - 在
Program.cs里用MapControllers()但没调用AddControllersWithViews()→IAuthorizationService未注册，静默失败
最小可靠顺序（.NET 6+）：
app.UseRouting(); app.UseAuthentication(); // ← 必须在这儿 app.UseAuthorization(); // ← 必须在这儿 app.MapControllers();
另外，确保控制器方法上写了 [ApiController] 和 [Route("api/[controller]")]，否则路由匹配失败也会表现为 401 而非 404。
Oracle 数据库本身不提供认证能力，所有认证逻辑都在 .NET 层完成；真正容易出问题的不是 Oracle 驱动，而是 JWT 密钥管理、中间件顺序、以及把数据库连接和用户认证混为一谈的思维惯性。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
