ASP.NET Core中已认证用户仍被AuthorizationPolicyBuilder拦截页面问题

问题场景 #

开发面向企业内部的ASP.NET Core应用，生产环境采用AD（Active Directory）做访问控制，非域机器开发时使用硬编码模拟用户。通过环境变量authenticationType切换认证方式：

• 设为mock时，使用自定义BasicAuthentication方案+MockAuthenticatedUser模拟用户
• 其他情况使用AD的Negotiate认证

配置了授权回退策略RequireAuthenticatedUser()后，本地启动页面为空（仅空body标签），注释授权代码后页面正常显示，且能看到logged in as admin, authenticated。

核心原因 #

1. 请求管道缺失认证中间件：仅注册了认证服务，但未在请求流程中添加app.UseAuthentication()，导致授权策略生效时，认证逻辑未执行，框架触发认证挑战但无响应处理，返回空页面。
2. 自定义认证处理程序不规范：模拟用户身份的AuthenticationType未正确绑定到认证方案名称，导致授权系统不认可该身份为有效认证身份。

解决方案 #

1. 修正请求管道中间件顺序 #

在Program.cs的请求管道配置部分，必须按顺序添加认证、授权中间件，位置在路由之后、端点映射之前：

app.UseRouting();

// 先执行认证，再执行授权
app.UseAuthentication();
app.UseAuthorization();

// 你的端点映射（如Razor Pages或MVC控制器）
app.MapRazorPages();
// 或 app.MapControllers();

2. 完善MockAuthenticatedUser处理程序 #

确保认证逻辑返回绑定到当前方案的有效身份，可选添加挑战处理逻辑（开发环境直接返回模拟用户）：

public class MockAuthenticatedUser : AuthenticationHandler<AuthenticationSchemeOptions>
{
    public MockAuthenticatedUser(IOptionsMonitor<AuthenticationSchemeOptions> options, 
        ILoggerFactory logger, UrlEncoder encoder, ISystemClock clock) 
        : base(options, logger, encoder, clock)
    {
    }

    protected override Task<AuthenticateResult> HandleAuthenticateAsync()
    {
        // 构造模拟用户的声明集合
        var claims = new List<Claim>
        {
            new Claim(ClaimTypes.Name, "admin"),
            // 按需添加其他声明（如角色、邮箱等）
        };

        // 身份必须绑定当前认证方案的名称作为AuthenticationType
        var identity = new ClaimsIdentity(claims, Scheme.Name);
        var principal = new ClaimsPrincipal(identity);
        var authTicket = new AuthenticationTicket(principal, Scheme.Name);

        return Task.FromResult(AuthenticateResult.Success(authTicket));
    }

    // 开发环境下，直接返回模拟用户以避免挑战导致的空页面
    protected override Task HandleChallengeAsync(AuthenticationProperties properties)
    {
        var authResult = HandleAuthenticateAsync().Result;
        Context.User = authResult.Principal;
        Context.Response.StatusCode = StatusCodes.Status200OK;
        return Task.CompletedTask;
    }
}

3. 明确授权策略的认证方案（可选） #

如果授权策略需要指定仅使用模拟认证方案，可在回退策略中明确：

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder("BasicAuthentication")
        .RequireAuthenticatedUser()
        .Build();
});

验证 #

按上述步骤调整后，启动应用：

• 页面正常加载，同时模拟用户身份能通过授权检查
• 无需注释授权代码即可正常访问

内容的提问来源于stack exchange，提问作者rumtscho