ASP.NET Core 8调试模式下静态文件匿名访问授权问题

你的静态文件保护方式不正确，问题原因及解决方法如下： #

问题根源

你用MapFallbackToFile加AllowAnonymousAttribute的思路完全错误：

• MapFallbackToFile是处理未匹配到任何路由规则请求的兜底路由，而静态文件请求会被UseStaticFiles中间件注册的端点优先匹配，所以你配置的这个兜底端点根本不会触发，加的匿名授权自然无效。
• 全局设置的默认授权策略（FallbackPolicy）会覆盖所有没有明确授权元数据的端点，包括UseStaticFiles注册的静态文件端点，所以即使静态文件中间件默认允许匿名，也会被全局策略拦截。

正确的解决方法

针对调试模式下的/StaticFiles路径，有两种可靠方案：

方案1：给静态文件端点添加匿名授权元数据

在注册静态文件时，通过OnPrepareResponse给该路径的所有请求添加AllowAnonymousAttribute，跳过全局授权检查：

if (app.Environment.IsDevelopment())
{
    app.UseStaticFiles(new StaticFileOptions
    {
        RequestPath = "/StaticFiles",
        FileProvider = new PhysicalFileProvider(
            Path.Combine(app.Environment.ContentRootPath, "StaticFiles")),
        OnPrepareResponse = ctx =>
        {
            // 给当前静态文件请求的端点添加匿名授权元数据
            var endpointFeature = ctx.Context.Features.Get<IEndpointFeature>();
            if (endpointFeature?.Endpoint != null)
            {
                endpointFeature.Endpoint.Metadata.Add(new AllowAnonymousAttribute());
            }
        }
    });
}
else
{
    // 生产环境保持原有授权规则，不开放匿名访问
    app.UseStaticFiles(new StaticFileOptions
    {
        RequestPath = "/StaticFiles",
        FileProvider = new PhysicalFileProvider(
            Path.Combine(app.Environment.ContentRootPath, "StaticFiles"))
    });
}

方案2：调试模式下跳过指定路径的授权中间件

通过UseWhen分支中间件，只对非/StaticFiles路径应用授权检查：

app.UseAuthentication();

if (app.Environment.IsDevelopment())
{
    // 仅对非/StaticFiles的请求应用授权
    app.UseWhen(context => !context.Request.Path.StartsWithSegments("/StaticFiles"), appBuilder =>
    {
        appBuilder.UseAuthorization();
    });
}
else
{
    // 生产环境全局应用授权
    app.UseAuthorization();
}

// 注册静态文件服务（包括/StaticFiles路径）
app.UseStaticFiles();
app.UseStaticFiles(new StaticFileOptions
{
    RequestPath = "/StaticFiles",
    FileProvider = new PhysicalFileProvider(
        Path.Combine(app.Environment.ContentRootPath, "StaticFiles"))
});

补充说明

控制器用MapControllers().WithMetadata(new AllowAnonymousAttribute())有效，是因为这个元数据会直接应用到所有控制器端点，覆盖了全局的默认授权策略。而静态文件的端点由UseStaticFiles自动注册，默认没有任何授权元数据，所以会被全局策略拦截。

内容的提问来源于stack exchange，提问作者Stephan