Blazor组件中使用[Authorize]特性应用自定义授权策略失败

问题原因 #

当你使用[Authorize(Policy = "AllowAnonymousAccess")]时，Blazor会自动为该特性附加DenyAnonymousAuthorizationRequirement默认要求——即使你的自定义策略返回true，这个默认要求仍会强制检查用户是否已认证，最终导致匿名用户授权失败。此外，若你使用AddAuthorizationCore而非完整的AddAuthorization，可能会缺少处理AllowAnonymous逻辑的必要服务注册，进一步加剧问题。

解决方案 #

方案1：修正自定义授权策略

修改Program.cs中的授权配置，显式添加AllowAnonymousAuthorizationRequirement以覆盖默认的匿名拒绝要求：

// 确保引用命名空间：using Microsoft.AspNetCore.Authorization;
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AllowAnonymousAccess", policy =>
    {
        // 添加允许匿名访问的要求，直接绕过认证检查
        policy.Requirements.Add(new AllowAnonymousAuthorizationRequirement());
    });
});

注意：Blazor WebAssembly项目请使用AddAuthorization而非AddAuthorizationCore，后者是轻量级实现，缺少部分默认授权服务的注册。

方案2：直接使用[AllowAnonymous]并排查全局配置

若你尝试@attribute [AllowAnonymous]仍无效，需检查以下两点：

• 全局Fallback策略：如果配置了全局强制认证的 fallback 策略，需确保AllowAnonymous能正确绕过它：

  builder.Services.AddAuthorization(options =>
  {
      options.FallbackPolicy = new AuthorizationPolicyBuilder()
          .RequireAuthenticatedUser()
          .Build();
      // 同时注册允许匿名的策略（如需复用）
      options.AddPolicy("AllowAnonymousAccess", policy =>
          policy.Requirements.Add(new AllowAnonymousAuthorizationRequirement()));
  });
  

• 布局组件的授权冲突：检查页面所使用的布局（如MainLayout.razor）是否带有[Authorize]特性。若布局强制授权，页面的[AllowAnonymous]会被忽略，可改为使用无授权的布局：

  @page "/Register"
  @layout EmptyLayout <!-- 使用不含授权特性的布局 -->
  @attribute [AllowAnonymous]
  

内容的提问来源于stack exchange，提问作者Ahune ajé o ahe