.NET 6下ASP.NET Web API控制器Basic Authentication配置失效如何解决？

我已经实现了用户验证类和BasicAuthenticationAttribute类，这个类会解码请求头中的令牌，再通过验证类检查用户名和密码的有效性。但现在遇到一个问题：就算不提供用户名或密码，GET请求依然能正常访问数据。

我试过两种方式配置认证，但都没效果：

1. 在控制器上添加[BasicAuthentication]特性：

namespace minimalAPI.Controllers
{
    [Route("v1/[controller]")]
    [ApiController]
    [BasicAuthentication]
    // 控制器类代码...
}

2. 在全局配置中添加过滤器：

namespace minimalAPI
{
    public class WebApiConfig
    {
        public void Register(HttpConfiguration config)
        {
            config.Filters.Add(new BasicAuthenticationAttribute());
        }
    }
}

1. 检查BasicAuthenticationAttribute的实现逻辑 #

先确认你的认证特性有没有正确处理无凭据的情况：

• 必须确保当请求头没有Authorization字段，或者解码后拿不到有效用户名密码时，直接返回401未授权，不能跳过验证。
• 排查代码里有没有针对GET请求的特殊放行逻辑（比如误写了if (request.Method == HttpMethod.Get)就跳过验证）。

核心逻辑参考示例：

public class BasicAuthenticationAttribute : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        var authHeader = actionContext.Request.Headers.Authorization;
        // 无认证头或不是Basic类型，直接返回401
        if (authHeader == null || !authHeader.Scheme.Equals("Basic", StringComparison.OrdinalIgnoreCase))
        {
            actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized);
            return;
        }

        // 解码凭据
        var credentials = Encoding.ASCII.GetString(Convert.FromBase64String(authHeader.Parameter)).Split(':');
        if (credentials.Length != 2)
        {
            actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized);
            return;
        }
        var username = credentials[0];
        var password = credentials[1];

        // 调用验证类检查有效性
        if (!YourUserValidationClass.Validate(username, password))
        {
            actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized);
            return;
        }

        // 验证通过，继续执行
        base.OnAuthorization(actionContext);
    }
}

2. 确认全局过滤器是否正确注册 #

如果是ASP.NET Web API，要保证WebApiConfig的Register方法在启动时被调用。打开Global.asax.cs检查：

protected void Application_Start()
{
    GlobalConfiguration.Configure(WebApiConfig.Register);
    // 其他初始化代码...
}

没调用的话，全局过滤器不会生效。

3. 排查是否有跳过认证的特性 #

检查控制器或单个GET Action上有没有加[AllowAnonymous]特性，这个特性会覆盖BasicAuthentication的验证，导致无需凭据就能访问。

4. 确认请求确实未携带凭据 #

用Postman或浏览器开发者工具查看请求头，确保测试的GET请求没有自动带上之前保存的Authorization: Basic xxx头，避免误判。

内容的提问来源于stack exchange，提问作者Ruben