ASP.NET Core Identity页面的AuthorizeAttribute来源何处？

核心结论 #

ASP.NET Core Identity的页面授权规则并非来自脚手架生成代码中的显式特性，而是通过框架内置的路由约定和全局过滤器自动添加的。

1. MapRazorPages()的Identity内置逻辑 #

当你调用MapRazorPages()时，Identity框架会自动为其管辖的路由（例如/Identity/Account/*）注入全局授权策略：

• 大部分Identity页面（包括LogOut）默认会被要求用户已认证，对应端点会自动带上AuthorizeAttribute；
• 仅少数页面（如Login、Register）会被框架标记为AllowAnonymous，允许未认证用户访问。

这就是为什么你查看端点数据时能看到授权特性，但脚手架生成的页面代码里找不到的原因。

2. LogOut页面的矛盾点解释 #

• 源码中原始模型的AllowAnonymous是Identity内部的特殊处理：未认证用户访问注销页时，框架不会抛出未授权错误，而是直接重定向到登录页（或配置的默认页面）；
• 页面中的未认证逻辑是为了在重定向前做必要的状态清理或友好提示，但底层的路由拦截仍然由框架的全局授权规则控制，所以未认证用户无法直接访问页面内容。

3. 脚手架生成代码的设计逻辑 #

脚手架生成的页面只保留UI和业务逻辑的可自定义部分，把授权这类全局配置交给Identity框架统一管理。这种设计避免了重复编写授权特性，同时让你可以通过修改Identity配置或自定义路由规则来灵活调整授权策略。

内容的提问来源于stack exchange，提问作者John