添加[AllowAnonymous]的API控制器仍触发授权路由并报CORS错误

可能的原因 #

1. 控制器类语法错误：你提供的控制器代码里，MembersController类定义后缺失了{，这会导致编译器无法正确识别该控制器。当请求/api/Members的POST接口时，无法匹配到目标方法，转而被路由到其他需要授权的端点，最终触发重定向到微软登录页面，引发CORS错误。
2. 全局授权策略的意外触发：如果项目配置了全局授权回退策略（比如强制所有请求需要认证的FallbackPolicy），即使控制器标注了[AllowAnonymous]，一旦路由匹配出现异常，请求仍会触发全局授权校验，导致重定向。
3. 模型验证异常的间接重定向：虽然ApiController默认会对模型验证失败返回400，但如果项目自定义了错误处理中间件，将400错误重定向到登录页面，也会出现这种现象。

解决方案 #

1. 修复控制器语法错误
   确保控制器类定义完整，用{}包裹所有方法，修正后的代码如下：

[AllowAnonymous]
[ApiController]
[Route("api/[controller]")]
public class MembersController : ControllerBase
{
    [HttpPost]
    public async Task<IActionResult> CreateMemberAsync(CreateMemberViewmodel model)
    {
        // 方法实现
    }

    [HttpPost("Suggest")]
    public async Task<IActionResult> SuggestMembersAsync(CreateMemberViewmodel member)
    {
        // 方法实现
    }
}

2. 显式为默认POST方法添加[AllowAnonymous]
   虽然控制器级别已标注，但为方法单独添加该特性，可以避免路由匹配异常时的授权校验问题：

[AllowAnonymous]
[HttpPost]
public async Task<IActionResult> CreateMemberAsync(CreateMemberViewmodel model)
{
    // 方法实现
}

3. 检查全局授权配置
   如果存在全局回退授权策略，确认其不会覆盖控制器的[AllowAnonymous]，或者针对/api/Members路径单独配置匿名访问规则：

services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
    // 添加针对Members控制器的匿名策略
    options.AddPolicy("MembersAllowAnonymous", policy => policy.AllowAnonymous());
});

之后在控制器或方法上指定[Authorize(Policy = "MembersAllowAnonymous")]（或保持[AllowAnonymous]即可）。

4. 确认CORS策略正确应用
   确保在Program.cs中正确启用CORS中间件，且位置在UseRouting之后、UseAuthorization之前：

app.UseRouting();

// 启用指定的CORS策略
app.UseCors("SignalRPolicy");

app.UseAuthorization();
app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

5. 检查模型验证行为
   确认项目中没有自定义错误处理逻辑将模型验证失败的400响应重定向到登录页面，保持ApiController的默认验证响应行为即可。

内容的提问来源于stack exchange，提问作者Ortund