ASP.NET Core 6 API未认证返回405而非401的原因排查

这个现象的核心逻辑是ASP.NET Core 请求处理流程中，路由匹配（含HTTP方法校验）的优先级高于授权验证——当请求无法匹配到对应HTTP方法的目标端点时，框架会直接返回405状态码，不会进入[Authorize]特性的校验环节。具体常见场景如下：

1. 请求HTTP方法与端点定义不匹配 #

这是最普遍的原因：

• 假设你的端点代码仅支持POST方法：

  [Authorize]
  [Route("auth/test/{id}")]
  [HttpPost]
  public IActionResult Test(int id)
  {
      return Ok("Authenticated");
  }
  

• 但你发起的是GET请求访问/auth/test/1，此时框架遍历所有路由后，找不到对应URL且支持GET方法的端点，直接返回405（方法不允许），完全不会触发授权校验逻辑，自然不会返回401。

2. CORS预检请求（OPTIONS）未被正确处理 #

如果是浏览器端发起的跨域请求，对于非简单请求（比如带自定义请求头、使用PUT/DELETE方法等），浏览器会先发送OPTIONS预检请求：

• 若你的端点未配置支持OPTIONS方法，且项目CORS中间件未正确处理预检逻辑，框架会返回405。此时你在浏览器开发者工具中看到的405，实际是预检请求的响应，而非业务请求的结果。

3. 路由模板存在隐性冲突 #

如果项目中存在路由模板相似的多个端点，可能干扰目标端点的匹配：

// 无授权的GET端点，路由模板与目标端点一致
[Route("auth/test/{id}")]
[HttpGet]
public IActionResult PublicTest(int id)
{
    return Ok("Public");
}

// 带授权的POST端点
[Authorize]
[Route("auth/test/{id}")]
[HttpPost]
public IActionResult Test(int id)
{
    return Ok("Authenticated");
}

• 若用POST请求且未携带认证信息，会触发授权校验返回401；但如果用GET请求，会匹配到无授权的PublicTest端点；如果用PUT等未定义的方法，则直接返回405。

快速验证方法 #

• 用Postman等工具直接发送与端点定义一致的HTTP方法请求，排除浏览器预检请求的干扰。
• 启用ASP.NET Core路由日志，确认请求是否匹配到目标端点：
  在appsettings.json中添加日志配置：

  "Logging": {
    "LogLevel": {
      "Microsoft.AspNetCore.Routing": "Debug"
    }
  }
  

  启动项目后查看日志，若没有Request matched endpoint相关记录，说明路由未匹配。

内容的提问来源于stack exchange，提问作者A_AhMaD