控制器添加Authorize特性后出现404及权限异常问题求助

当控制器添加[Authorize(Policy="Admin")]后返回404，核心原因是Cookie认证默认针对MVC场景，权限验证失败时会重定向到配置的LoginPath/AccessDeniedPath，但你的项目是WebAPI，不存在这些页面路径，因此返回404。而无Policy/Role的[Authorize]仅验证是否登录，若登录通过则直接放行，不会触发重定向逻辑，所以接口正常。

1. 修改Cookie认证配置，禁用API请求的重定向 #

在Program.cs的AddCookie配置中，添加事件拦截逻辑，让API请求返回对应状态码而非重定向：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = CookieAuthenticationDefaults.AuthenticationScheme;
})
.AddCookie(options =>
{
    options.LoginPath = "/Account/Login";
    options.AccessDeniedPath = "/Account/AccessDenied";
    options.ExpireTimeSpan = TimeSpan.FromMinutes(20);
    options.SlidingExpiration = true;

    // 拦截API请求的登录重定向，返回401
    options.Events.OnRedirectToLogin = context =>
    {
        if (context.Request.Path.StartsWithSegments("/api"))
        {
            context.Response.StatusCode = StatusCodes.Status401Unauthorized;
            return Task.CompletedTask;
        }
        context.Response.Redirect(context.RedirectUri);
        return Task.CompletedTask;
    };

    // 拦截API请求的权限拒绝重定向，返回403
    options.Events.OnRedirectToAccessDenied = context =>
    {
        if (context.Request.Path.StartsWithSegments("/api"))
        {
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            return Task.CompletedTask;
        }
        context.Response.Redirect(context.RedirectUri);
        return Task.CompletedTask;
    };
});

2. 验证用户角色分配正确性 #

确保登录用户确实被分配了Admin角色：

• 检查数据库AspNetUserRoles表，确认用户对应的RoleId关联到AspNetRoles表中名称为Admin的角色。
• 若未创建Admin角色，可通过代码或数据库手动添加，并将用户与该角色关联。

3. 确认Policy角色名称匹配 #

Identity角色名称默认区分大小写，需确保Policy中指定的角色名与数据库中完全一致：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("Admin",
            policy =>
            {
                policy.RequireAuthenticatedUser();
                policy.RequireRole("Admin"); // 与数据库角色名称严格匹配
            });
});

4. 调试权限验证结果 #

在控制器方法中添加简单判断，确认当前用户的角色状态：

[HttpGet("GetAllPayments")]
public async Task<IActionResult> GetAllPayments()
{
    // 调试用：查看当前用户是否拥有Admin角色
    var hasAdminRole = User.IsInRole("Admin");
    return Ok(new { HasAdminRole = hasAdminRole, Payments = await _paymentService.GetAllPaymentsAsync() });
}

WebAPI场景更适合使用JWT认证而非Cookie认证，Cookie认证的重定向逻辑是为MVC页面场景设计的。如果后续有优化需求，建议切换到JWT认证，从根源避免这类适配问题。

内容的提问来源于stack exchange，提问作者Angelo Sante Schiraldi