如何在Kestrel中禁用控制器匿名登录？替代HttpSys相关设置方案

嘿，你可能混淆了Kestrel的职责和ASP.NET Core的认证授权机制啦！Kestrel只是负责处理底层HTTP传输的Web服务器，控制匿名访问这种逻辑是ASP.NET Core框架的核心功能，所以你找不到类似HttpSys的Authentication.AllowAnonymous配置——咱们得用框架的授权机制来实现批量拒绝匿名访问的需求。下面给你两种靠谱的方案：

这是最简洁也最符合框架规范的方式，通过配置FallbackPolicy，让所有没有显式标注[AllowAnonymous]的控制器/Action默认要求用户必须认证。

具体步骤很简单，在你的Program.cs里配置授权服务时添加这个默认策略：

var builder = WebApplication.CreateBuilder(args);

// 先根据你的实际场景配置认证服务（比如Cookie、JWT等）
builder.Services.AddAuthentication("CookieAuth")
    .AddCookie("CookieAuth", options =>
    {
        options.LoginPath = "/Account/Login"; // 未认证时跳转的登录页面
    });

// 配置授权，设置全局默认策略要求已认证用户
builder.Services.AddAuthorization(options =>
{
    // FallbackPolicy会自动应用到所有没有[Authorize]或[AllowAnonymous]的端点
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

var app = builder.Build();

// 注意中间件顺序：先认证，再授权
app.UseAuthentication();
app.UseAuthorization();

// 映射控制器等其他配置
app.MapControllers();

app.Run();

这样配置后，你的所有控制器默认都会拒绝匿名访问，只有那些你特意加上[AllowAnonymous]特性的Action或控制器才允许匿名访问，完美实现批量控制。

如果你需要根据路径、请求头等自定义规则来判断是否允许匿名访问，可以写一个自定义中间件，在请求到达控制器之前检查用户的认证状态：

public class RequireAuthenticationMiddleware
{
    private readonly RequestDelegate _next;
    private readonly PathString[] _excludedPaths; // 允许匿名访问的路径列表

    public RequireAuthenticationMiddleware(RequestDelegate next, PathString[] excludedPaths)
    {
        _next = next;
        _excludedPaths = excludedPaths;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        // 检查当前请求路径是否在允许匿名的列表中
        var isExcluded = _excludedPaths.Any(path => context.Request.Path.StartsWithSegments(path));
        
        if (!isExcluded && !context.User.Identity.IsAuthenticated)
        {
            // 未认证且不在允许列表，触发认证挑战（比如跳转登录页或返回401）
            await context.ChallengeAsync("CookieAuth");
            return;
        }

        // 已认证或在允许列表，继续处理请求
        await _next(context);
    }
}

// 写个扩展方法方便注册中间件
public static class MiddlewareExtensions
{
    public static IApplicationBuilder UseRequireAuthentication(this IApplicationBuilder app, params PathString[] excludedPaths)
    {
        return app.UseMiddleware<RequireAuthenticationMiddleware>(excludedPaths);
    }
}

然后在Program.cs里注册这个中间件，注意要放在UseRouting之后、UseEndpoints之前：

var app = builder.Build();

app.UseRouting();
app.UseAuthentication();

// 注册自定义中间件，指定允许匿名的路径（比如登录、注册页）
app.UseRequireAuthentication("/Account/Login", "/Account/Register");

app.UseAuthorization();
app.MapControllers();

app.Run();

这种方法适合需要特殊规则的场景，但一般来说第一种方法足够满足大多数批量控制的需求。

总结一下：不用找Kestrel的配置，ASP.NET Core框架本身就提供了完善的授权机制来批量控制匿名访问，上面两种方法都能帮你实现要求用户输入密码才能访问控制器的需求。

内容的提问来源于stack exchange，提问作者 iluxa1810