ASP.NET Core 6如何仅为特定控制器添加认证授权？

1. 实现仅特定控制器认证授权，其余匿名访问 #

完全可以实现仅针对特定控制器触发认证授权，其余请求默认允许匿名访问，具体配置如下：

步骤1：配置授权策略 #

在Program.cs的服务配置中，设置默认授权策略为允许匿名，同时添加需要认证的自定义策略：

builder.Services.AddAuthorization(options =>
{
    // 添加需要认证的自定义策略
    options.AddPolicy("RequireAuthenticatedAccess", policy =>
    {
        policy.RequireAuthenticatedUser();
        // 可在此添加你的自定义认证逻辑，比如指定认证方案、角色等
    });

    // 设置全局默认策略为允许匿名
    options.DefaultPolicy = new AuthorizationPolicyBuilder()
        .AllowAnonymous()
        .Build();
});

步骤2：在目标控制器上应用认证策略 #

在需要保护的OData控制器上添加[Authorize]特性（指定自定义策略名称）：

[Authorize(Policy = "RequireAuthenticatedAccess")]
public class MyController : ODataController
{
    // 控制器业务逻辑...
}

配置完成后，除了标记[Authorize]的控制器外，所有请求（包括/odata/$metadata）都会默认允许匿名访问。

2. 解决OData $metadata的406错误 #

406错误是由于请求的Accept头与服务器支持的响应格式不匹配导致的，结合你的场景可尝试以下修复：

方法1：确保OData支持正确的响应格式 #

在配置OData时，明确添加对JSON和XML格式的支持（元数据通常以XML返回）：

builder.Services.AddControllers().AddOData(options =>
{
    options.Select().Filter().OrderBy().Expand().Count().SetMaxTop(100);
    options.AddRouteComponents("odata", GetEdmModel());
    
    // 添加支持的媒体类型
    options.Formatters.JsonFormatter.SupportedMediaTypes.Add(Microsoft.Net.Http.Headers.MediaTypeHeaderValue.Parse("application/json"));
    options.Formatters.XmlFormatter.SupportedMediaTypes.Add(Microsoft.Net.Http.Headers.MediaTypeHeaderValue.Parse("application/xml"));
});

方法2：检查自定义认证Handler的响应逻辑 #

确保你的自定义认证Handler在认证失败时返回正确的状态码（如401 Unauthorized），而非错误的406状态码。例如在HandleAuthenticateAsync方法中，认证失败时应返回AuthenticateResult.Fail("认证失败")，由框架自动处理响应状态。

方法3：单独允许元数据路由匿名访问 #

如果上述方法无效，可单独为/odata/$metadata路由配置匿名访问：

app.UseAuthentication();
app.UseAuthorization();

// 映射OData路由
app.MapODataRoute("odata", "odata", GetEdmModel());

// 允许匿名访问元数据端点
app.MapGet("/odata/$metadata", async context =>
{
    var originalPath = context.Request.Path;
    context.Request.Path = "/odata/$metadata";
    await app.RunAsync(context);
    context.Request.Path = originalPath;
}).AllowAnonymous();

内容的提问来源于stack exchange，提问作者user9297554