ASP.NET Core 8 Web API：无IIS权限下屏蔽浏览器认证弹窗

核心解决思路 #

由于无法修改IIS配置，我们需要在应用层拦截认证失败的响应，将默认的401状态码改为403，并移除WWW-Authenticate头，避免浏览器触发Basic认证弹窗。

具体实现步骤 #

1. 修改JWT Bearer认证配置，拦截认证挑战事件

在Program.cs的JWT认证配置中，添加OnChallenge事件处理，覆盖默认的401响应：

builder.Services.AddAuthentication(options => {
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
}).AddJwtBearer(options => {
    options.TokenValidationParameters = new TokenValidationParameters {
        ValidateIssuerSigningKey = true,
        ValidateIssuer = true,
        ValidateAudience = false,
        ClockSkew = TimeSpan.FromSeconds(0),
        ValidIssuers = new List<string>{
            "https://www.myweb.com/"
        },
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration.GetSection("AppSettings:Token").Value!))
    };

    // 添加认证挑战事件处理
    options.Events = new JwtBearerEvents
    {
        OnChallenge = context =>
        {
            // 阻止默认的挑战响应逻辑
            context.HandleResponse();
            
            // 设置响应状态码为403 Forbidden
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            
            // 可选：返回自定义JSON响应内容
            return context.Response.WriteAsJsonAsync(new 
            { 
                Message = "Access denied. Invalid or missing authentication token." 
            });
        }
    };
});

2. 调整自定义授权过滤器（处理角色/权限授权失败）

保留你的自定义CustomAuthorizeFilter，用于处理已认证用户但权限不足的场景，确保这类情况也返回403：

using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;
using System.Linq;

public class CustomAuthorizeFilter : IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationFilterContext context)
    {
        // 用户未认证的情况已经由JWT的OnChallenge处理，这里只处理已认证但权限不足的场景
        if (context.HttpContext.User.Identity?.IsAuthenticated != true)
        {
            return;
        }

        // 检查角色权限
        var authorizeAttributes = context.ActionDescriptor.EndpointMetadata
            .OfType<AuthorizeAttribute>()
            .ToList();

        if (authorizeAttributes.Any(attr => !string.IsNullOrEmpty(attr.Roles) && !context.HttpContext.User.IsInRole(attr.Roles)))
        {
            context.Result = new ObjectResult(new { Message = "Insufficient permissions." })
            {
                StatusCode = StatusCodes.Status403Forbidden
            };
        }
    }
}

确保过滤器在Program.cs中正确注册：

builder.Services.AddControllers(options =>
{
    options.Filters.Add(new CustomAuthorizeFilter());
});

3. 验证中间件顺序

确保Program.cs中中间件顺序正确，认证必须在授权之前：

app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();

为什么之前的自定义过滤器无效？ #

当用户未提供有效JWT时，JWT Bearer认证中间件会直接触发认证挑战，返回401状态码和WWW-Authenticate头，此时请求管道会被中断，你的自定义IAuthorizationFilter根本没有机会执行。通过OnChallenge事件可以拦截这一默认行为，直接修改响应内容。

更新Swagger注释（可选） #

为了保持文档和实际行为一致，建议更新接口的SwaggerResponse注释，将401改为403：

[SwaggerResponse(StatusCodes.Status403Forbidden, "Returned if access is denied (invalid/missing token or insufficient permissions).")]

内容的提问来源于stack exchange，提问作者Alex Ibrahim Ojea