ASP.NET Core Web API多认证方案下角色授权路由异常问题

问题根源 #

当请求带有[Authorize(Roles = "ExampleRole")]的端点时，若用户身份验证通过但角色不匹配，ASP.NET Core框架会尝试发起Challenge操作，但由于配置了多个认证方案（SESSION/BASIC/API_TOKEN），且未明确指定默认的DefaultChallengeScheme，也未在授权策略中指定Challenge使用的方案，导致框架无法确定用哪个方案发起Challenge，从而抛出异常。

推荐解决方案：自定义授权结果处理器 #

通过实现IAuthorizationMiddlewareResultHandler，可以在授权失败时动态选择合适的认证方案发起Challenge，既保留多认证方案的支持，又解决异常问题。

1. 实现自定义授权结果处理器 #

public class CustomAuthorizationResultHandler : IAuthorizationMiddlewareResultHandler
{
    private readonly AuthorizationMiddlewareResultHandler _defaultHandler = new();

    public async Task HandleAsync(RequestDelegate next, HttpContext context, AuthorizationPolicy policy, PolicyAuthorizationResult authorizeResult)
    {
        if (authorizeResult.Challenged)
        {
            // 获取当前请求中已成功完成身份验证的方案
            var authenticatedSchemes = context.User.Identities
                .Where(identity => identity.IsAuthenticated)
                .Select(identity => identity.AuthenticationType)
                .ToList();

            if (authenticatedSchemes.Any())
            {
                // 使用第一个已认证的方案发起Challenge（可根据业务逻辑调整优先级）
                await context.ChallengeAsync(authenticatedSchemes.First());
                return;
            }

            // 若没有已认证的方案，使用默认的Challenge方案作为 fallback
            await context.ChallengeAsync(AuthenticationScheme.SESSION);
            return;
        }

        // 其他授权结果（如禁止、成功）使用默认处理逻辑
        await _defaultHandler.HandleAsync(next, context, policy, authorizeResult);
    }
}

2. 注册自定义处理器 #

在Program.cs中添加服务注册：

builder.Services.AddSingleton<IAuthorizationMiddlewareResultHandler, CustomAuthorizationResultHandler>();

3. 优化认证配置（可选） #

为了避免极端情况下的 fallback 问题，可以在认证配置中设置一个默认的DefaultChallengeScheme：

private static void ConfigureAuthentication(WebApplicationBuilder builder)
{
    builder.Services.AddAuthentication(options =>
    {
        // 设置默认认证方案（保持原逻辑）
        options.DefaultAuthenticateScheme = AuthenticationScheme.SESSION;
        // 设置默认Challenge方案作为 fallback
        options.DefaultChallengeScheme = AuthenticationScheme.SESSION;
    })
    .AddScheme<AuthenticationSchemeOptions, SessionAuthenticationHandler>(AuthenticationScheme.SESSION, null)
    .AddScheme<AuthenticationSchemeOptions, BasicAuthenticationHandler>(AuthenticationScheme.BASIC, null)
    .AddScheme<AuthenticationSchemeOptions, ApiTokenAuthenticationHandler>(AuthenticationScheme.API_TOKEN, null);
}

备选方案：为角色授权策略指定Challenge方案 #

如果你只需要针对特定角色策略处理，可以直接在授权策略中明确指定Challenge使用的认证方案：

1. 定义带角色的授权策略 #

private static void ConfigureAuthorization(WebApplicationBuilder builder)
{
    builder.Services.AddAuthorization(options =>
    {
        // 默认授权策略（保持原逻辑）
        var defaultPolicyBuilder = new AuthorizationPolicyBuilder(
            AuthenticationScheme.SESSION,
            AuthenticationScheme.BASIC,
            AuthenticationScheme.API_TOKEN
        )
        .RequireAuthenticatedUser();
        options.DefaultPolicy = defaultPolicyBuilder.Build();

        // 针对ExampleRole的自定义策略，指定Challenge方案
        options.AddPolicy("RequireExampleRole", policy =>
        {
            policy.AddAuthenticationSchemes(AuthenticationScheme.SESSION, AuthenticationScheme.BASIC, AuthenticationScheme.API_TOKEN)
                  .RequireAuthenticatedUser()
                  .RequireRole("ExampleRole")
                  // 指定授权失败时使用的Challenge方案（可指定多个，框架会按顺序尝试）
                  .AuthenticationSchemes = new List<string> { AuthenticationScheme.BASIC, AuthenticationScheme.SESSION };
        });
    });
}

2. 在控制器中使用策略 #

[Authorize(Policy = "RequireExampleRole")]
public IActionResult ExampleRoleEndpoint()
{
    // ...
}

为什么之前的方案失效？ #

你尝试的ChallengelessAuthenticationService直接跳过了Challenge操作，导致框架对授权失败的请求没有进行拦截，从而使得未授权请求被错误地允许访问，这违背了授权的核心逻辑，因此不建议使用。

内容的提问来源于stack exchange，提问作者Red Riding Hood