.NET Core API控制器设AllowAnonymous后，端点级授权配置及问题排查

结论 #

控制器配置了[AllowAnonymous]后，可以在端点（方法）级别应用授权，但直接添加[Authorize]特性不会生效——因为[AllowAnonymous]的优先级更高，会跳过所有授权检查。需要通过自定义授权逻辑或调整授权策略来实现。

实现方案 #

方案1：自定义授权过滤器 #

创建一个自定义授权过滤器，主动判断当前方法是否需要授权，在控制器带[AllowAnonymous]的前提下强制执行授权检查：

using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc.Filters;

public class OverrideAnonymousAuthorizeFilter : IAuthorizationFilter
{
    private readonly IAuthorizationService _authorizationService;

    public OverrideAnonymousAuthorizeFilter(IAuthorizationService authorizationService)
    {
        _authorizationService = authorizationService;
    }

    public async void OnAuthorization(AuthorizationFilterContext context)
    {
        // 检查当前方法是否标记了[Authorize]
        var methodRequiresAuth = context.ActionDescriptor.EndpointMetadata.Any(m => m is AuthorizeAttribute);
        // 检查控制器是否标记了[AllowAnonymous]
        var controllerAllowsAnonymous = context.ActionDescriptor.ControllerDescriptor.EndpointMetadata.Any(m => m is AllowAnonymousAttribute);

        if (methodRequiresAuth && controllerAllowsAnonymous)
        {
            // 执行默认授权策略检查
            var authResult = await _authorizationService.AuthorizeAsync(context.HttpContext.User, null, "DefaultPolicy");
            if (!authResult.Succeeded)
            {
                context.Result = new Microsoft.AspNetCore.Mvc.UnauthorizedResult();
            }
        }
    }
}

在Program.cs中注册这个全局过滤器：

builder.Services.AddControllers(options =>
{
    options.Filters.Add<OverrideAnonymousAuthorizeFilter>();
});

之后在需要授权的方法上直接加[Authorize]即可：

[AllowAnonymous]
public class TestController : ControllerBase
{
    // 公开接口，无需授权
    [HttpGet("public")]
    public IActionResult PublicEndpoint()
    {
        return Ok("Public content");
    }

    // 受保护接口，需要授权
    [HttpGet("protected")]
    [Authorize]
    public IActionResult ProtectedEndpoint()
    {
        return Ok("Protected content");
    }
}

方案2：使用自定义授权策略 #

定义一个强制要求认证的策略，在方法上指定该策略，覆盖控制器的[AllowAnonymous]规则：

1. 在Program.cs中添加自定义策略：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("ForceAuth", policy =>
    {
        policy.RequireAuthenticatedUser();
        // 可按需添加角色、声明等额外要求
        // policy.RequireRole("Admin");
    });
});

2. 在目标方法上使用该策略：

[AllowAnonymous]
public class TestController : ControllerBase
{
    [HttpGet("protected")]
    [Authorize(Policy = "ForceAuth")]
    public IActionResult ProtectedEndpoint()
    {
        return Ok("Protected content");
    }
}

为什么直接加[Authorize]不生效？ #

.NET Core的授权逻辑中，[AllowAnonymous]是一个“短路”特性——只要请求链路的任何层级（控制器或方法）存在该特性，授权中间件就会直接跳过所有授权检查，无视方法上的[Authorize]标记。因此必须通过自定义逻辑来覆盖这个默认行为。

内容的提问来源于stack exchange，提问作者dbpadhiyar