.NET Core中仅用属性语法使用认证过滤器遇异常的解决咨询

报错原因 #

你遇到的异常是因为ASP.NET Core的认证框架要求必须配置至少一个默认的认证方案（AuthenticationScheme），当你使用[Authorize]属性时，框架会尝试触发默认的认证流程，但你既没指定具体Scheme，也没设置默认ChallengeScheme，所以抛出该错误。

解决方案 #

你完全可以仅通过属性语法实现自定义认证，不需要依赖JWT、Cookie这类现成方案，下面提供两种可行方式：

方式一：移除[Authorize]，改用ASP.NET Core原生授权过滤器 #

你的自定义过滤器继承了旧版Web API的IAuthenticationFilter，在ASP.NET Core中更推荐使用IAsyncAuthorizationFilter（异步授权过滤器）来实现自定义认证逻辑，同时不需要额外配置认证Scheme。

修改后的自定义过滤器代码：

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)]
public class BasicFilter : Attribute, IAsyncAuthorizationFilter
{
    public async Task OnAuthorizationAsync(AuthorizationFilterContext context)
    {
        // 执行你的认证校验逻辑
        BaseRequest? validRequest = await AuthenticationHelper.RequestIsValid<BaseRequest>(context);
        
        if (validRequest == null)
        {
            // 认证失败时返回401
            context.Result = new UnauthorizedResult();
            return;
        }

        // 设置当前请求的用户身份
        var principal = new GenericPrincipal(new GenericIdentity("User"), null);
        context.HttpContext.User = principal;
    }
}

接口使用时只需添加[BasicFilter]，移除多余的[Authorize]：

[BasicFilter]
[HttpPost]
public async Task<ActionResult> CreateAccount()
{
    // 接口业务逻辑
}

方式二：保留[Authorize]，配置空自定义认证Scheme #

如果你一定要保留[Authorize]属性，只需在Program.cs中配置一个空的自定义认证Scheme，让框架通过默认Scheme检查，实际认证逻辑仍由你的过滤器处理：

1. 注册自定义认证Scheme和空Handler：

builder.Services.AddAuthentication("CustomBasicScheme")
    .AddScheme<AuthenticationSchemeOptions, EmptyAuthenticationHandler>("CustomBasicScheme", options => { });

// 空认证Handler，仅用于满足框架的Scheme要求
public class EmptyAuthenticationHandler : AuthenticationHandler<AuthenticationSchemeOptions>
{
    public EmptyAuthenticationHandler(IOptionsMonitor<AuthenticationSchemeOptions> options, ILoggerFactory logger, UrlEncoder encoder, ISystemClock clock)
        : base(options, logger, encoder, clock)
    {
    }

    protected override Task<AuthenticateResult> HandleAuthenticateAsync()
    {
        // 返回NoResult，让后续的自定义过滤器处理实际认证
        return Task.FromResult(AuthenticateResult.NoResult());
    }
}

2. 接口上同时保留[Authorize]和[BasicFilter]即可：

[Authorize]
[BasicFilter]
[HttpPost]
public async Task<ActionResult> CreateAccount()
{
    // 接口业务逻辑
}

关键说明 #

• 旧版Web API的IAuthenticationFilter在ASP.NET Core中兼容性有限，替换为IAsyncAuthorizationFilter更贴合Core的请求管道逻辑
• 两种方案都不需要依赖JWT、Cookie等第三方认证方案，完全通过自定义属性实现认证校验

内容的提问来源于stack exchange，提问作者Tyler Wanta