如何在wwwroot外配置静态文件并绕过认证策略实现公开访问？

你的代码逻辑本身没问题，但出现未授权错误大概率是全局授权策略或中间件顺序细节导致的，以下是具体解决方法：

1. 豁免静态文件路径的全局授权 #

如果你的项目配置了全局授权策略（比如强制所有请求必须认证），需要单独给/userfiles路径放行：

修改中间件配置，把授权中间件的作用范围限定在非静态文件路径：

void ConfigureMiddleware(IApplicationBuilder app, IServiceProvider services, IHostEnvironment environment)
{
    // 先配置自定义静态文件中间件
    app.UseStaticFiles(new StaticFileOptions {
        FileProvider = new PhysicalFileProvider(
            Path.Combine(Directory.GetCurrentDirectory(), "Resources", "UserFiles")),
        RequestPath = "/userfiles"
    });

    app.UseAuthentication();

    // 仅对非/userfiles的请求应用授权
    app.UseWhen(context => !context.Request.Path.StartsWithSegments("/userfiles"), appBuilder =>
    {
        appBuilder.UseAuthorization();
    });

    // 其他业务中间件（如UseEndpoints）放在后续位置
    // app.UseEndpoints(...);
}

2. 静态文件响应中明确标记允许匿名 #

如果上述方法无效，可以在静态文件配置中通过OnPrepareResponse添加匿名标识，避免被认证中间件拦截：

app.UseStaticFiles(new StaticFileOptions
{
    FileProvider = new PhysicalFileProvider(
        Path.Combine(Directory.GetCurrentDirectory(), "Resources", "UserFiles")),
    RequestPath = "/userfiles",
    OnPrepareResponse = ctx =>
    {
        // 标记该请求允许匿名访问，绕过后续授权检查
        ctx.Context.Items["AllowAnonymous"] = true;
    }
});

3. 确认中间件顺序正确性 #

确保中间件严格遵循以下执行顺序：
自定义静态文件中间件 → UseAuthentication → UseAuthorization → 其他业务中间件（如UseEndpoints）
禁止将任何认证/授权相关中间件放在静态文件中间件之前。

4. 验证文件系统权限 #

最后确认运行应用的进程（如IIS应用池用户、控制台程序运行用户）对Resources/UserFiles目录有读取权限，虽然这不会直接导致未授权错误，但可能引发其他访问异常。

内容的提问来源于stack exchange，提问作者Gotts