.NET中[Authorize]属性的工作原理及授权判定逻辑

为什么加了[Authorize]就访问不了？ #

默认情况下，[Authorize]属性会要求访问当前控制器/方法的用户必须是已完成认证的状态。如果你还没有登录（也就是没通过系统的认证流程），请求会直接被拦截，返回401未授权响应（Web API场景）或者跳转到登录页面（MVC场景）。

[Authorize]是怎么判断用户是否授权的？ #

它本质是一个授权过滤器，会在控制器或方法执行前触发检查逻辑：

• 最基础的检查：读取HttpContext.User.Identity.IsAuthenticated属性，只要这个值是false，直接拦截请求
• 如果指定了角色（比如[Authorize(Roles = "Admin")]），会额外调用User.IsInRole("Admin")验证用户是否属于指定角色
• 如果用了自定义策略（比如[Authorize(Policy = "RequireEmailVerified")]），会执行策略对应的验证逻辑，判断用户是否符合要求

用户授权状态从哪来？ #

所有用户的授权/认证状态，都来自HttpContext.User这个对象（类型是ClaimsPrincipal）：

• 这个对象是由认证中间件在请求处理的早期阶段填充的，不同的认证方式有不同的填充逻辑：
  • Cookie认证：用户登录成功后，服务器会生成包含用户信息的Cookie，后续请求时，Cookie认证中间件会自动解析Cookie，把用户的身份信息加载到HttpContext.User里
  • JWT认证：客户端请求时需要在请求头里携带Bearer Token，JWT中间件会解析Token中的Claims信息，填充到HttpContext.User中
• User.Identity就是当前用户的身份标识，其中IsAuthenticated字段直接标识用户是否已经完成认证，这也是[Authorize]属性最核心的判断依据

简单示例 #

// 仅允许已认证用户访问的控制器
[Authorize]
public class DashboardController : Controller
{
    public IActionResult Index()
    {
        // 可以直接从User对象获取当前用户信息
        var currentUserName = User.Identity.Name;
        var userRoles = User.Claims.Where(c => c.Type == ClaimTypes.Role).Select(c => c.Value);
        return View();
    }
}

内容的提问来源于stack exchange，提问作者Srikanth Reddy