ASP.NET Core 6 MVC自定义授权策略HandleRequirementAsync未触发

核心问题：开发环境路由配置覆盖授权规则 #

你在开发环境中给默认路由添加了.AllowAnonymous()，这会直接跳过所有授权验证，包括控制器上的[Authorize(Policy = "DpAuthRequirement")]属性，导致自定义授权处理器的HandleRequirementAsync方法完全不会被触发。

对应代码片段：

else
{
    app.MapControllerRoute(
           name: "default",
           pattern: pattern).AllowAnonymous();
}

.AllowAnonymous()是全局级别的匿名访问配置，优先级高于控制器/Action上的[Authorize]属性，直接导致你的自定义策略无法生效。

修复步骤 #

1. 移除开发环境路由的.AllowAnonymous()
   修改开发环境的路由配置，去掉.AllowAnonymous()，让控制器上的[Authorize]属性正常生效：

   else
   {
       app.MapControllerRoute(
              name: "default",
              pattern: pattern);
   }
   

2. （可选）按需配置局部匿名访问
   如果仅需要开发环境下特定页面允许匿名，不要给全局路由加.AllowAnonymous()，而是在对应Action上单独添加[AllowAnonymous]属性，示例：

   [AllowAnonymous]
   public IActionResult Index()
   {
       return View();
   }
   

其他验证点 #

• 中间件顺序正确：你的代码中UseRouting() → UseAuthentication() → UseAuthorization()的顺序符合ASP.NET Core要求，无需调整。
• 自定义处理器注册正确：builder.Services.AddScoped<IAuthorizationHandler, DpAuthHandler>()的注册方式没问题，构造函数日志已打印也能证明这一点。

修复后，访问HomeController时会触发自定义授权策略的验证逻辑，HandleRequirementAsync方法中的日志就能正常输出了。

内容的提问来源于stack exchange，提问作者Geborren