为控制器注册AuthorizationFilter时抛出System.InvalidOperationException异常的问题求助

这个异常的核心原因是：ASP.NET Core的授权管道会自动关联认证系统，当你实现IAuthorizationFilter时，框架会默认假设你需要使用认证方案来处理授权挑战（比如用户未认证、授权失败时的响应逻辑），但你还没有配置任何认证方案或默认挑战方案。而IActionFilter是在授权流程完全结束后才执行的，不会触发这套关联逻辑，所以你的SecureByDefaultFilter能正常工作。

下面分两种场景给出针对性解决办法：

场景1：你的授权逻辑依赖框架认证（比如需要验证用户身份、角色） #

如果你的AuthorisedFilter需要结合用户的认证信息（比如判断登录用户的角色），那必须先配置认证方案：

1. 在Program.cs中添加认证服务配置，比如常用的JWT或Cookie认证：

   // 示例：配置JWT认证作为默认方案
   builder.Services.AddAuthentication("Bearer")
       .AddJwtBearer(options =>
       {
           options.TokenValidationParameters = new TokenValidationParameters
           {
               ValidateIssuer = true,
               ValidateAudience = true,
               ValidateLifetime = true,
               ValidateIssuerSigningKey = true,
               ValidIssuer = builder.Configuration["Jwt:Issuer"],
               ValidAudience = builder.Configuration["Jwt:Audience"],
               IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
           };
       });
   
   // 务必注意中间件顺序：先认证，再授权，最后映射端点
   app.UseAuthentication();
   app.UseAuthorization();
   app.MapControllers();
   

2. 确保中间件顺序正确，UseAuthentication()必须在UseAuthorization()之前，否则授权流程无法获取到用户的认证信息。

场景2：你的授权是纯自定义逻辑（不依赖框架认证） #

如果你的AuthorisedFilter只是检查自定义的AuthorisedAttribute属性，不需要验证用户的认证状态，那可以通过手动设置响应结果，避免触发框架的认证挑战逻辑：

修改AuthorisedFilter的实现：

internal class AuthorisedFilter : IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationFilterContext context)
    {
        var authorizedAttribute = context.ActionDescriptor.EndpointMetadata.OfType<AuthorisedAttribute>().FirstOrDefault();
        if (authorizedAttribute?.Roles == "Public")
        {
            return;
        }

        // 手动设置授权失败的结果，替代框架的自动挑战逻辑
        context.Result = new ForbidResult(); 
        // 如果是需要标记未认证场景，可以改用 new UnauthorizedResult()
    }
}

如果想要彻底避免框架的认证依赖，也可以配置一个简单的匿名认证方案兜底：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = "Anonymous";
})
.AddScheme<AuthenticationSchemeOptions, AnonymousAuthenticationHandler>("Anonymous", options => { });

// 自定义匿名认证处理器
public class AnonymousAuthenticationHandler : AuthenticationHandler<AuthenticationSchemeOptions>
{
    public AnonymousAuthenticationHandler(IOptionsMonitor<AuthenticationSchemeOptions> options, ILoggerFactory logger, UrlEncoder encoder, ISystemClock clock)
        : base(options, logger, encoder, clock)
    {
    }

    protected override Task<AuthenticateResult> HandleAuthenticateAsync()
    {
        // 返回匿名身份凭证
        var identity = new ClaimsIdentity();
        var principal = new ClaimsPrincipal(identity);
        var ticket = new AuthenticationTicket(principal, Scheme.Name);
        return Task.FromResult(AuthenticateResult.Success(ticket));
    }
}

额外检查点 #

• 确认你的AuthorisedAttribute是否继承了AuthorizeAttribute？如果是的话，这个属性本身就会触发框架的授权逻辑，此时必须配置认证方案才能正常工作。
• 检查过滤器的注册顺序：如果AuthorisedFilter需要依赖SecureByDefaultFilter的检查结果，要确保它在SecureByDefaultFilter之后添加。

内容的提问来源于stack exchange，提问作者jjnrmason