如何让ASP.NET Core最小API未认证时返回401而非跳转到登录页

这不是你的操作错误，ASP.NET Core Identity默认的Cookie认证配置是为浏览器UI场景设计的，所以未认证访问受保护资源时会触发重定向到登录页的逻辑。而API端点需要返回401状态码，你不需要为每个端点重复编写身份判断代码，只需调整认证配置即可实现全局或局部的差异化处理。

解决方案1：全局配置API路径的认证挑战行为 #

在Program.cs中配置Cookie认证的OnRedirectToLogin事件，根据请求路径判断是否为API请求，针对性返回401或执行默认重定向：

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.Events.OnRedirectToLogin = context =>
        {
            // 这里假设你的API路径都以/api/开头，可根据实际路由规则调整
            if (context.Request.Path.StartsWithSegments("/api"))
            {
                context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                return Task.CompletedTask;
            }
            // 非API请求保持默认重定向登录页的逻辑
            context.Response.Redirect(context.RedirectUri);
            return Task.CompletedTask;
        };
    });

配置完成后，所有匹配/api前缀的端点在未认证时都会返回401状态码，无需修改端点代码，原有的[Authorize]特性可以正常使用：

app.MapGet("/testapi-time", [Authorize] () =>
    DateTime.Now.ToLongTimeString());

解决方案2：为API端点单独配置授权策略 #

如果只需要部分端点返回401，可以创建自定义授权策略，指定挑战行为为返回401：

1. 注册授权策略：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("ApiUnauthorizedPolicy", policy =>
    {
        policy.RequireAuthenticatedUser();
        // 指定未认证时返回401而非重定向
        policy.ChallengeType = "Unauthorized";
    });
});

2. 在API端点上使用该策略：

app.MapGet("/testapi-time", [Authorize(Policy = "ApiUnauthorizedPolicy")] () =>
    DateTime.Now.ToLongTimeString());

为什么不推荐手动判断身份？ #

你提到的手动检查HttpContext.User.Identity.IsAuthenticated的方式虽然可行，但会产生大量重复代码，且违背了ASP.NET Core授权系统的设计初衷——通过配置和特性集中管理授权逻辑，而非分散到各个端点。

内容的提问来源于stack exchange，提问作者Avrohom Yisroel