ASP.NET Core 6中为不同端点配置不同IOutputFormatter的可行方案

问题背景 #

需将遗留ASP.NET Web API 2应用迁移至ASP.NET Core 6，核心需求如下：

• 部分控制器返回Pascal-case格式JSON响应，部分返回camel-case格式；
• 所有控制器认证/授权逻辑统一，但401/403错误需匹配对应控制器的序列化格式返回不同结构的响应对象。

在ASP.NET Web API 2中可通过IControllerConfiguration配置控制器级格式化器、自定义AuthorizeAttribute抛出异常、ExceptionFilterAttribute处理响应轻松实现，但ASP.NET Core中全局IOutputFormatter配置+认证授权管道的执行顺序（早于ActionContext/格式化器触发）导致原有方案失效。

现有思路的不足 #

你提到的两种临时方案存在明显缺陷：

1. 让认证“假通过”并在ActionFilter中处理：绕开框架原生认证授权管道，易引入逻辑漏洞，不符合框架设计规范；
2. 静态暴露格式化器并复现选择逻辑：需手动匹配路由与控制器，代码冗余且维护成本高，无法利用依赖注入管理格式化器实例。

最优方案：路由匹配+自定义授权结果处理器+格式化器复用 #

核心思路是保留原生认证授权管道，利用路由匹配后已存在的端点元数据，复用已定义的控制器级格式化器来序列化错误响应，具体实现如下：

1. 修改授权结果处理器 #

注入IOutputFormatterSelector和MvcOptions，在授权失败时根据当前匹配的控制器选择对应格式化器，手动序列化错误响应：

public class AuthorizationResultHandler : IAuthorizationMiddlewareResultHandler
{
    private readonly AuthorizationMiddlewareResultHandler _defaultHandler;
    private readonly IOutputFormatterSelector _formatterSelector;
    private readonly IOptions<MvcOptions> _mvcOptions;

    public AuthorizationResultHandler(IOutputFormatterSelector formatterSelector, IOptions<MvcOptions> mvcOptions)
    {
        _defaultHandler = new AuthorizationMiddlewareResultHandler();
        _formatterSelector = formatterSelector;
        _mvcOptions = mvcOptions;
    }

    public async Task HandleAsync(RequestDelegate next, HttpContext context, AuthorizationPolicy policy, PolicyAuthorizationResult authorizeResult)
    {
        if (authorizeResult.Challenged || authorizeResult.Forbidden)
        {
            // 获取路由匹配后的端点及控制器元数据
            var endpoint = context.GetEndpoint();
            var controllerDescriptor = endpoint?.Metadata.GetMetadata<ControllerActionDescriptor>();
            if (controllerDescriptor != null)
            {
                // 根据控制器类型构造对应格式的错误响应
                object errorResponse = controllerDescriptor.ControllerName == "WeatherForecastV1" 
                    ? new V1ErrorResponse { ErrorCode = "UNAUTHORIZED", Message = "未授权访问V1接口" }
                    : new V2ErrorResponse { errorCode = "unauthorized", message = "未授权访问V2接口" };

                // 构建格式化上下文，复用已定义的输出格式化器选择逻辑
                var formatterContext = new OutputFormatterCanWriteContext(
                    new ActionContext(context, context.GetRouteData(), new ControllerActionDescriptor()),
                    context.Response.Body,
                    typeof(object),
                    errorResponse);

                // 选择匹配当前控制器的格式化器
                var formatter = _formatterSelector.SelectFormatter(
                    formatterContext, 
                    _mvcOptions.Value.OutputFormatters, 
                    new MediaTypeCollection { "application/json" });

                if (formatter != null)
                {
                    // 设置响应状态码与Content-Type
                    context.Response.StatusCode = authorizeResult.Challenged 
                        ? StatusCodes.Status401Unauthorized 
                        : StatusCodes.Status403Forbidden;
                    context.Response.ContentType = "application/json";
                    // 使用格式化器序列化错误响应
                    await formatter.WriteAsync(formatterContext);
                    return;
                }
            }
        }

        // 非授权失败场景使用默认处理器
        await _defaultHandler.HandleAsync(next, context, policy, authorizeResult);
    }
}

// 对应格式的错误响应类
public class V1ErrorResponse
{
    public string ErrorCode { get; set; }
    public string Message { get; set; }
}

public class V2ErrorResponse
{
    public string errorCode { get; set; }
    public string message { get; set; }
}

2. 完善服务注册 #

确保授权结果处理器依赖的服务被正确注入：

builder.Services.AddAuthorization(options => 
    options.DefaultPolicy = new AuthorizationPolicyBuilder("defscheme")
        .RequireAssertion(context =>
            context.User.Identities.Any(c => c.AuthenticationType == "secretheader"))
        .Build())
    .AddSingleton<IAuthorizationMiddlewareResultHandler, AuthorizationResultHandler>();

3. 保留原有格式化器逻辑 #

你已实现的V1OutputFormatter和V2OutputFormatter无需修改，其CanWriteResult方法会自动匹配对应控制器，确保正常响应和错误响应的序列化格式一致。

方案优势 #

• 完全保留ASP.NET Core原生认证授权管道，符合框架设计规范，避免逻辑漏洞；
• 复用已定义的控制器级格式化器，无需重复编写序列化逻辑，降低维护成本；
• 利用路由匹配后的端点元数据，精准关联控制器对应的序列化格式，逻辑清晰且扩展性强。

内容的提问来源于stack exchange，提问作者Andrey Biryulin