如何让ASP.NET Core应用中的API跳过站点身份验证？

你遇到的核心问题大概率是全局授权配置或者Cookie认证的重定向逻辑导致的——即使移除了控制器上的[Authorize]，全局规则或中间件行为还是会强制跳转登录。以下是几种简便的解决方法：

方法1：给API控制器/方法显式添加[AllowAnonymous] #

如果你的项目全局注册了授权过滤器（比如在Program.cs里加了options.Filters.Add(new AuthorizeFilter())），仅仅移除[Authorize]是不够的，必须显式添加[AllowAnonymous]来覆盖全局规则：

[ApiController]
[Route("api/[controller]")]
[AllowAnonymous] // 关键：显式允许匿名访问
public class MyApiController : ControllerBase
{
    [HttpGet]
    public IActionResult GetData()
    {
        return Ok("API数据");
    }
}

方法2：调整Cookie认证的重定向逻辑 #

ASP.NET Core的Cookie认证默认会把所有未授权请求（包括API）重定向到登录页。你可以在配置Cookie认证时，针对API请求返回401而非重定向：

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.LoginPath = "/Account/Login"; // 网页的登录路径保持不变
        // 处理API请求时不重定向，直接返回401
        options.Events.OnRedirectToLogin = context =>
        {
            if (context.Request.Path.StartsWithSegments("/api"))
            {
                context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                return Task.CompletedTask;
            }
            context.Response.Redirect(context.RedirectUri);
            return Task.CompletedTask;
        };
    });

这样网页请求未授权时仍会跳转到登录页，API请求则直接返回401状态码，同时未添加[Authorize]的API就能正常匿名访问。

方法3：检查并修正中间件顺序 #

确保中间件的顺序正确——UseAuthentication()必须在UseAuthorization()之前，且UseRouting()要在这两个中间件之前：

app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();

// 映射网页路由
app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");
// 确保API路由被正确映射
app.MapControllers();

内容的提问来源于stack exchange，提问作者Jonathan Wood