ASP.NET Core如何仅允许未登录用户访问页面

.NET Core 里没有现成的[NotAuthorize]属性，但可以通过自定义授权属性来实现需求，这比手动校验或强制登出更优雅且复用性强。

实现步骤： #

1. 自定义一个授权属性，继承AuthorizeAttribute和IAuthorizationFilter，在逻辑里判断用户是否已认证：

using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;

public class AllowAnonymousOnlyAttribute : AuthorizeAttribute, IAuthorizationFilter
{
    // 可自定义登录用户的跳转目标，默认跳首页
    public string RedirectUrl { get; set; } = "/Home/Index";

    public void OnAuthorization(AuthorizationFilterContext context)
    {
        // 检查当前用户是否已登录
        if (context.HttpContext.User.Identity.IsAuthenticated)
        {
            // 已登录用户直接跳转或返回禁止访问
            context.Result = new RedirectResult(RedirectUrl);
            // 若不需要跳转，返回403禁止：context.Result = new ForbidResult();
        }
    }
}

2. 在需要限制的页面（Action/控制器）上直接标记该属性即可：

[AllowAnonymousOnly(RedirectUrl = "/Employee/Dashboard")]
public IActionResult ExternalUserPortal()
{
    return View();
}

这种方式的优势在于：

• 代码复用：所有需要仅对未登录用户开放的页面都能直接套用
• 逻辑集中：登录校验逻辑统一维护，避免重复代码
• 灵活可控：可自定义已登录用户的跳转路径或返回结果

内容的提问来源于stack exchange，提问作者jojo gigi j g