Web API 2中AllowAnonymous失效及授权提示异常问题排查

问题1：[AllowAnonymous]特性无法被识别，数量始终为0 #

原因 #

1. actionContext.ActionDescriptor.GetCustomAttributes<AllowAnonymousAttribute>()默认不检查父级（控制器）的特性，且未启用继承查找；
2. 重写OnAuthorization时先调用了base.OnAuthorization(actionContext)，但后续授权逻辑完全忽略AllowAnonymous的存在，导致即使标记了该特性，仍会强制执行Token校验。

修复要点 #

• 调用GetCustomAttributes时添加inherit: true参数，同时检查控制器和方法上的AllowAnonymous特性；
• 在逻辑最开始判断是否存在AllowAnonymous，如果有则直接跳过授权校验。

问题2：授权通过仍返回“Authorization has been denied for this request” #

原因 #

继承System.Web.Http.AuthorizeAttribute时，base.OnAuthorization(actionContext)内部会执行默认授权检查，若默认逻辑未通过（比如未配置角色/用户），会直接设置未授权响应，后续即使设置isAuthorized=true也无法覆盖已存在的响应。改为AuthorizationFilterAttribute后无默认逻辑干扰，问题解决，但并非最优解——AuthorizeAttribute本身就是授权专用基类，无需替换。

统一修复后的完整代码 #

public class AuthorizeJWTAttribute : System.Web.Http.AuthorizeAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        try
        {
            // 检查当前方法或控制器是否标记AllowAnonymous，存在则直接放行
            bool hasAllowAnonymous = actionContext.ActionDescriptor.GetCustomAttributes<AllowAnonymousAttribute>(inherit: true).Any()
                                   || actionContext.ControllerContext.ControllerDescriptor.GetCustomAttributes<AllowAnonymousAttribute>(inherit: true).Any();
            
            if (hasAllowAnonymous)
            {
                return;
            }

            // 移除base.OnAuthorization调用，避免默认逻辑干扰
            bool isAuthorized = false;
            var authorizationHeader = actionContext.Request.Headers.Authorization;
            
            if (authorizationHeader != null 
                && string.Equals(authorizationHeader.Scheme, "Bearer", StringComparison.OrdinalIgnoreCase) 
                && !string.IsNullOrEmpty(authorizationHeader.Parameter))
            {
                string token = authorizationHeader.Parameter;
                // 假设DecodeJWTToken内部会验证Token有效性，验证失败抛出异常
                CommercialInsurance.Common.Helpers.DecodeJWTToken(token);
                isAuthorized = true;
            }

            if (!isAuthorized)
            {
                actionContext.Response = new System.Net.Http.HttpResponseMessage(System.Net.HttpStatusCode.Unauthorized)
                {
                    ReasonPhrase = "Invalid or missing JWT token"
                };
            }
        }
        catch (Exception)
        {
            actionContext.Response = new System.Net.Http.HttpResponseMessage(System.Net.HttpStatusCode.Unauthorized)
            {
                ReasonPhrase = "Token validation failed"
            };
        }
    }
}

额外说明 #

• 移除base.OnAuthorization调用：默认AuthorizeAttribute逻辑会检查ASP.NET原生身份验证（如FormsAuth），与JWT自定义验证冲突；
• 使用StringComparison.OrdinalIgnoreCase比较Scheme：避免大小写差异导致的校验失败；
• 明确设置ReasonPhrase：让客户端清晰知晓未授权的具体原因。

内容的提问来源于stack exchange，提问作者Hasan Shouman