ASP.NET .NET8中Swagger路由未显示锁定图标问题排查

核心原因：安全方案引用方式错误 #

你在DatabaseAuthOperationFilter中重新创建了完整的OpenApiSecurityScheme实例，但Swagger需要通过引用已全局注册的安全方案ID来关联认证规则，重复构造实例会导致关联失效，从而无法正确识别端点的认证要求，仍显示解锁图标。

修正后的OperationFilter代码 #

public class DatabaseAuthOperationFilter : IOperationFilter
{
    public void Apply(OpenApiOperation operation, OperationFilterContext context)
    {
        // 因Attribute仅允许标记在方法上，简化判断逻辑
        var hasAttribute = context.MethodInfo.GetCustomAttributes(true)
            .OfType<DatabaseAuthenticationAttribute>()
            .Any();

        if (hasAttribute)
        {
            operation.Security = new List<OpenApiSecurityRequirement>
            {
                new()
                {
                    {
                        new OpenApiSecurityScheme
                        {
                            Reference = new OpenApiReference
                            {
                                Type = ReferenceType.SecurityScheme,
                                Id = "Bearer" // 直接引用全局注册的安全方案ID
                            }
                        },
                        Array.Empty<string>()
                    }
                }
            };
        }
        else
        {
            // 若不需要全局默认认证，清空未标记端点的安全要求
            operation.Security?.Clear();
        }
    }
}

额外优化建议 #

1. 简化属性判断逻辑：你的DatabaseAuthenticationAttribute设置了AttributeTargets.Method，无需检查控制器类（DeclaringType）的属性，直接判断方法上的标记即可。
2. 全局安全要求的处理：如果仅希望标记了DatabaseAuthenticationAttribute的端点需要认证，建议移除AddSwaggerGen中的全局AddSecurityRequirement调用，避免所有端点默认带上认证规则；若保留全局设置，需在Filter的else分支清空未标记端点的安全要求，确保解锁图标正确显示。

验证步骤 #

1. 重新编译并启动项目
2. 调试确认hasAttribute为true时，operation.Security被正确赋值
3. 刷新Swagger UI，查看目标端点是否显示锁形图标

内容的提问来源于stack exchange，提问作者David