asp.net core中jwt验证失败、httpcontext.user.identity.isauthenticated始终为false，90%因addjwtbearer配置漏项或顺序错误：必须先调用addauthentication注册认证服务，再链式调用addjwtbearer注册方案；tokenvalidationparameters中validateissuer、validateaudience、validatelifetime、validateissuersigningkey须显式设true，且issuer、audience、signingkey须严格匹配生成端；务必启用useauthentication()中间件并置于useauthorization()之前，且[authorize]需匹配注册的jwtbearerdefaults.authenticationscheme方案。
ASP.NET Core 中 JWT 验证失败、HttpContext.User.Identity.IsAuthenticated 始终为 false，90% 是因为 AddJwtBearer 配置漏项或顺序错——不是代码写得不对，是认证管道根本没启动。
为什么 AddJwtBearer 必须链在 AddAuthentication 后面？
ASP.NET Core 的认证中间件依赖服务注册顺序。认证流程分两层：注册（AddAuthentication）和执行（UseAuthentication）。AddJwtBearer 不是独立中间件，而是向 AddAuthentication 注册的“方案实现”。如果它被写在 AddControllers 之后、或单独调用，框架压根不知道该用什么逻辑验证 Authorization: Bearer xxx 头。
常见错误写法：
-
services.AddJwtBearer(...)单独一行，前面没AddAuthentication -
services.AddAuthentication().AddJwtBearer(...)写在builder.Services.AddControllers()之后 - 把
AddJwtBearer放在app.UseAuthentication()之后（这是中间件调用，不是服务注册）
正确链式写法（必须在 builder.Services 阶段）：
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(options => {
options.TokenValidationParameters = new TokenValidationParameters { /* ... */ };
});
TokenValidationParameters 哪些字段必须显式设 true？
ValidateIssuer、ValidateAudience、ValidateLifetime、ValidateIssuerSigningKey 在 .NET 6+ 中默认全是 false。生产环境不显式设为 true，等于关掉了所有校验开关——过期 token、伪造 audience、无效签名全会通过。
尤其注意：
-
ValidIssuer和ValidAudience必须与生成 token 时传入的issuer、audience字符串**完全一致**（含大小写、末尾斜杠、协议头），差一个字符就 401 且无提示 -
IssuerSigningKey必须是SymmetricSecurityKey实例，不能直接传字符串；密钥长度必须 ≥ 32 字节（256 bit），否则构造静默失败，后续所有验证返回false -
ValidateLifetime = true是默认值，但显式写出更稳妥——否则 token 过期后仍被当成有效
登录接口返回 token 为什么前端带着它还是 401？
后端只负责生成并返回纯 token 字符串，**绝不拼接 Bearer 前缀**。前端必须自己按规范构造请求头：Authorization: Bearer <token></token>。如果后端返回 { "token": "eyJhbGciOi..." }，而前端错误地发了 Authorization: Bearer {"token":"eyJhbGciOi..."} ，中间件会因格式非法直接报 Bearer error="invalid_token"。
生成 token 的推荐方式：
- 用
JwtSecurityTokenHandler.CreateToken()构造，别手拼 Base64 或用第三方库封装 - 过期时间统一用
DateTime.UtcNow.AddMinutes(30)，避免时区导致提前失效 - 载荷中不要放敏感信息（如密码、身份证号），JWT 默认仅编码不加密
登录接口返回示例（纯字符串）：
return Ok(new { token = tokenString, expires = DateTime.UtcNow.AddMinutes(30) });
为什么 [Authorize] 接口始终 401，连日志都不报错？
最隐蔽的坑是：认证服务注册了，但没启用中间件。必须确保 app.UseAuthentication() 和 app.UseAuthorization() 出现在 app.MapControllers() 之前，且顺序不能颠倒——UseAuthentication 必须在 UseAuthorization 前面。
另一个高频原因：控制器或方法上用了 [Authorize]，但没指定方案，而你只注册了 JwtBearerDefaults.AuthenticationScheme。此时应显式写成：
[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
或者在全局配置里设默认方案（推荐）：
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(...);
这样 [Authorize] 才会自动匹配 JWT 方案。
