ASP.NET Core中AuthorizeAttribute的底层工作原理是什么？

ASP.NET Core里的AuthorizeAttribute只是一个仅包含少量数据、本身没有实际执行逻辑的标记特性。所有实际的授权行为，都由访问这个特性的组件来实现。

下面列出会访问AuthorizeAttribute的核心组件及其具体操作：

• 授权中间件：作为授权流程的核心入口，它会扫描当前匹配到的端点元数据，提取AuthorizeAttribute中定义的角色、策略名称等信息。随后触发完整的授权验证流程，根据配置的授权规则判断当前用户是否具备访问权限；若验证不通过，会直接返回401（未认证）或403（未授权）响应，阻断请求继续向下执行。

• 端点路由系统：在路由匹配过程中，该系统会识别带有AuthorizeAttribute的控制器、Action或Razor页面，将授权相关的元数据绑定到对应的端点上。同时它会处理AllowAnonymousAttribute的冲突情况——如果某个端点同时标记了AllowAnonymous，会忽略AuthorizeAttribute的限制，允许匿名访问。

• 控制器/页面模型激活器：在初始化控制器实例或Razor页面模型时，激活器会检查类级别或方法级别上的AuthorizeAttribute，收集这些授权元数据并传递给授权系统，确保在请求进入业务逻辑处理前，先完成授权验证，避免未授权请求触发业务代码。

• 授权策略提供器：它负责将AuthorizeAttribute中指定的策略名称或角色列表，解析为具体的AuthorizationPolicy对象。这个对象包含了一系列授权要求（比如角色检查、自定义权限验证等），是授权服务执行验证的核心依据。

内容的提问来源于stack exchange，提问作者Kevin Krumwiede