ASP.NET Core MVC 6自定义授权属性无法重定向至Keycloak认证页面

问题出在你直接返回UnauthorizedResult()或ForbidResult()的方式上——ASP.NET Core中，这两个结果仅返回对应的HTTP状态码，不会触发认证中间件的重定向逻辑。自带的[Authorize]属性之所以能跳转到Keycloak，是因为它内部会根据用户认证状态触发**挑战（Challenge）**流程，而非直接返回状态码。

下面是两种正确的实现方式：

方式一：基于IAuthorizationFilter的自定义属性 #

直接在授权逻辑中根据用户认证状态返回ChallengeResult或ForbidResult，让框架处理重定向：

public class CustomAuthorizeAttribute : Attribute, IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationFilterContext context)
    {
        // 这里编写你的自定义验证逻辑，比如检查权限、角色等
        bool hasPermission = CheckUserPermission(context.HttpContext.User);

        if (!hasPermission)
        {
            // 用户未认证：触发挑战，跳转到Keycloak登录页
            if (!context.HttpContext.User.Identity.IsAuthenticated)
            {
                context.Result = new ChallengeResult();
            }
            // 用户已认证但无权限：返回禁止（可自定义后续处理）
            else
            {
                context.Result = new ForbidResult();
            }
        }
    }

    // 示例：自定义权限检查方法
    private bool CheckUserPermission(ClaimsPrincipal user)
    {
        // 根据业务逻辑实现，比如检查用户的Claim、角色等
        return user.HasClaim(c => c.Type == "Permission" && c.Value == "AccessResource");
    }
}

方式二：基于策略的授权（推荐） #

ASP.NET Core更推荐使用策略式授权，这种方式更灵活，也能自动触发认证挑战：

1. 定义授权需求和处理程序：

// 自定义授权需求
public class CustomPermissionRequirement : IAuthorizationRequirement
{
    public string RequiredPermission { get; }

    public CustomPermissionRequirement(string requiredPermission)
    {
        RequiredPermission = requiredPermission;
    }
}

// 授权处理程序
public class CustomPermissionHandler : AuthorizationHandler<CustomPermissionRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, CustomPermissionRequirement requirement)
    {
        // 自定义验证逻辑
        if (context.User.HasClaim(c => c.Type == "Permission" && c.Value == requirement.RequiredPermission))
        {
            context.Succeed(requirement);
        }
        // 验证不通过时，框架会自动根据用户认证状态处理：未认证则触发挑战，已认证则返回禁止

        return Task.CompletedTask;
    }
}

2. 在Program.cs中注册策略和处理程序：

var builder = WebApplication.CreateBuilder(args);

// 添加授权服务并注册自定义策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("RequireManagePermission", policy =>
        policy.Requirements.Add(new CustomPermissionRequirement("ManageResource")));
});

// 注册授权处理程序
builder.Services.AddScoped<IAuthorizationHandler, CustomPermissionHandler>();

// 其他服务注册...

var app = builder.Build();

// 中间件配置顺序不能错
app.UseAuthentication();
app.UseAuthorization();

app.Run();

3. 在控制器/Action上使用：

[Authorize(Policy = "RequireManagePermission")]
public IActionResult ManageResource()
{
    return View();
}

关键说明 #

• ChallengeResult会通知认证中间件触发登录流程，自动重定向到Keycloak的登录页面，和自带[Authorize]的行为完全一致。
• 若用户已登录但无权限，ForbidResult会返回403状态，你可以通过自定义中间件或错误页面处理这种场景。

内容的提问来源于stack exchange，提问作者user2300947