在AllowAnonymous路由上AuthenticationHandler或其派生类是否会被调用？

核心结论 #

默认情况下，继承自AuthenticationHandler的自定义处理器（包括你基于JwtBearerHandler实现的ApplicationAuthenticationHandler）会在标记了[AllowAnonymous]的路由上被触发，但认证失败不会中断请求——因为[AllowAnonymous]仅跳过授权环节，而非认证环节。

原因解析 #

ASP.NET Core的认证与授权是两个独立的管道阶段：

• 认证阶段：由认证中间件/处理器负责，早于授权阶段执行。无论路由是否标记[AllowAnonymous]，都会尝试提取请求凭证、验证用户身份。
• 授权阶段：若路由标记[AllowAnonymous]，则会跳过权限检查，即使认证失败也允许请求继续执行。

所以你的自定义ApplicationAuthenticationHandler作为认证流程的一部分，会在所有路由（包括AllowAnonymous路由）上执行。

如何避免在AllowAnonymous路由上触发认证逻辑 #

如果需要在AllowAnonymous路由上完全跳过认证处理器的执行，可以通过以下方式实现：

方式1：在自定义处理器中检查端点元数据 #

在HandleAuthenticateAsync方法开头，先判断当前请求的端点是否包含[AllowAnonymous]元数据，若存在则直接跳过认证逻辑：

protected override async Task<AuthenticateResult> HandleAuthenticateAsync()
{
    // 获取当前请求对应的端点信息
    var endpoint = Context.GetEndpoint();
    if (endpoint?.Metadata.GetMetadata<IAllowAnonymous>() != null)
    {
        // 返回NoResult，告知认证中间件跳过后续处理
        return AuthenticateResult.NoResult();
    }

    // 执行原有JwtBearer认证逻辑
    return await base.HandleAuthenticateAsync();
}

方式2：通过中间件提前拦截 #

在认证中间件之前添加自定义中间件，检查请求端点是否有[AllowAnonymous]标记，若有则跳过后续认证中间件的执行：

app.Use(async (context, next) =>
{
    var endpoint = context.GetEndpoint();
    if (endpoint?.Metadata.GetMetadata<IAllowAnonymous>() != null)
    {
        await next();
        return;
    }

    // 执行认证中间件
    await next();
});

// 注册你的自定义认证中间件
app.UseAuthentication();
app.UseAuthorization();

注意事项 #

• 若只是想避免认证失败影响AllowAnonymous路由，无需额外处理——默认情况下，[AllowAnonymous]会让授权环节忽略认证结果，请求仍能正常访问。
• 如果你需要在AllowAnonymous路由上保留认证逻辑（比如提取已登录用户信息），则不需要做任何修改，处理器会正常执行，且不会阻止请求。

内容的提问来源于stack exchange，提问作者kkdeveloper7