ASP.NET MVC如何让指定URL无需登录即可访问？

针对你遇到的问题——添加自定义授权特性后，目标Action执行完仍跳转到登录页，可按以下步骤排查解决：

1. 排除全局授权过滤器的影响 #

多数ASP.NET MVC应用会在FilterConfig.cs中注册全局AuthorizeAttribute，这会对所有请求生效，即使你给目标Action加了自定义授权，全局过滤器仍可能触发二次检查跳转。

解决方式： #

• 给目标Action添加[AllowAnonymous]特性：全局AuthorizeAttribute会自动尊重该特性，跳过对该Action的授权检查。

  public class YourController : Controller
  {
      [CustomAuthorize]
      [AllowAnonymous]
      public ActionResult ViewTest(int id)
      {
          // 你的业务逻辑
          return View();
      }
  }
  

• 修改全局过滤器逻辑：如果不想用AllowAnonymous，可在全局过滤器中判断请求的Action，跳过授权：

  public class FilterConfig
  {
      public static void RegisterGlobalFilters(GlobalFilterCollection filters)
      {
          filters.Add(new CustomGlobalAuthorizeAttribute());
      }
  }
  
  public class CustomGlobalAuthorizeAttribute : AuthorizeAttribute
  {
      protected override bool AuthorizeCore(HttpContextBase httpContext)
      {
          var routeData = httpContext.Request.RequestContext.RouteData;
          string controller = routeData.Values["controller"].ToString();
          string action = routeData.Values["action"].ToString();
  
          // 跳过目标Action的授权检查
          if (controller == "YourController" && action == "ViewTest")
              return true;
  
          return base.AuthorizeCore(httpContext);
      }
  }
  

2. 修正CustomAuthorize特性的实现 #

你的自定义授权可能未正确标记请求为已授权，导致后续流程仍判定为未登录。需确保：

• 在授权逻辑中设置合法的用户身份
• 不对目标Action触发HandleUnauthorizedRequest跳转

示例正确实现：

public class CustomAuthorizeAttribute : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        var routeData = httpContext.Request.RequestContext.RouteData;
        string controller = routeData.Values["controller"].ToString();
        string action = routeData.Values["action"].ToString();

        if (controller == "YourController" && action == "ViewTest")
        {
            // 设置所需会话
            httpContext.Session["RequiredSessionKey"] = "SessionValue";
            // 构造匿名身份（避免后续身份校验失败）
            var identity = new GenericIdentity("ExternalVisitor");
            httpContext.User = new GenericPrincipal(identity, new string[] { });
            return true;
        }

        // 其他请求走原有授权逻辑
        return base.AuthorizeCore(httpContext);
    }

    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        var routeData = filterContext.RequestContext.RouteData;
        string controller = routeData.Values["controller"].ToString();
        string action = routeData.Values["action"].ToString();

        // 目标Action不跳转登录
        if (controller == "YourController" && action == "ViewTest")
            return;

        // 其他请求执行默认跳转逻辑
        base.HandleUnauthorizedRequest(filterContext);
    }
}

3. 检查Web.config的授权配置 #

如果Web.config中设置了全局匿名访问拦截，需给目标路径单独配置允许匿名：

<system.web>
  <!-- 全局拒绝匿名访问 -->
  <authorization>
    <deny users="?" />
  </authorization>
</system.web>

<!-- 允许特定路径匿名访问 -->
<location path="YourController/ViewTest">
  <system.web>
    <authorization>
      <allow users="?" />
    </authorization>
  </system.web>
</location>

如果路径包含动态参数（如id），可使用通配符*匹配：

<location path="YourController/ViewTest/*">

4. 排查其他拦截模块 #

检查项目中是否存在自定义HttpModule、Authentication过滤器或其他全局拦截逻辑，这些模块可能在请求后期再次校验会话状态并触发跳转。需确保这些逻辑对目标URL放行。

内容的提问来源于stack exchange，提问作者Rajesh