ASP.NET Core MVC自定义角色授权：重定向AccessDenied页面问题

核心问题分析 #

你当前返回UnauthorizedResult会触发HTTP 401未认证响应，这是针对未登录用户的逻辑；已登录但无权限的场景应返回HTTP 403禁止访问响应，ASP.NET Core会自动关联你在Program.cs中配置的AccessDenied页面。

解决方案 #

1. 确认Program.cs中的AccessDenied路径配置 #

确保已在认证Cookie配置中指定AccessDenied路径（未配置则添加）：

// 若使用Identity框架
builder.Services.AddDefaultIdentity<IdentityUser>()
    .AddRoles<IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>();

builder.Services.ConfigureApplicationCookie(options =>
{
    options.AccessDeniedPath = "/Account/AccessDenied"; // 替换为你的实际页面路径
});

// 若直接使用Cookie认证
builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.AccessDeniedPath = "/Account/AccessDenied";
    });

2. 修改CustomAuthorizeAttribute的权限校验逻辑 #

在OnAuthorization方法中，将用户已登录但无权限时的UnauthorizedResult替换为ForbidResult：

public class CustomAuthorizeAttribute : Attribute, IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationFilterContext context)
    {
        var user = context.HttpContext.User;

        // 未登录用户，触发登录页跳转
        if (!user.Identity.IsAuthenticated)
        {
            context.Result = new ChallengeResult();
            return;
        }

        // 执行你的权限校验逻辑
        bool hasPermission = VerifyUserPermission(user, context.ActionDescriptor);

        if (!hasPermission)
        {
            // 已登录但无权限，触发AccessDenied页面重定向
            context.Result = new ForbidResult();
            // 若需跳过全局配置手动指定路径，可替换为：
            // context.Result = new RedirectResult("/Account/AccessDenied");
        }
    }

    // 自定义权限校验实现
    private bool VerifyUserPermission(ClaimsPrincipal user, ActionDescriptor actionDescriptor)
    {
        var controllerActionDescriptor = actionDescriptor as ControllerActionDescriptor;
        var controllerName = controllerActionDescriptor?.ControllerName;
        var methodName = controllerActionDescriptor?.ActionName;

        // 从权限表查询当前用户角色是否有权限访问该Controller/Action
        // 此处替换为你的实际查询逻辑
        return false;
    }
}

关键说明 #

• ChallengeResult：针对未认证用户，自动触发登录页跳转。
• ForbidResult：针对已认证但无权限用户，自动匹配全局配置的AccessDeniedPath重定向，比手动RedirectResult更灵活，适配全局配置变更。
• 严格区分UnauthorizedResult（401未认证）和ForbidResult（403无权限）的使用场景，避免逻辑混淆。

内容的提问来源于stack exchange，提问作者Ertuğrul ÇİÇEK