Asp.Net Core：无需[Authorize]，如何手动管控认证需求

针对你的需求——根据operation参数手动决定是否触发内置认证流程，无需依赖[Authorize]特性，以下是几种实用方案，均基于Asp.Net Core内置认证能力实现：

方案一：自定义中间件（推荐，全局生效） #

利用中间件管道，在认证完成后、授权前判断路由参数，触发内置认证挑战：

var builder = WebApplication.CreateBuilder(args);

// 注册认证服务（比如JWT/Cookie，按你的实际配置）
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        // 你的JWT配置
    });

var app = builder.Build();

app.UseRouting();

// 执行内置认证流程
app.UseAuthentication();

// 自定义动态认证判断中间件
app.Use(async (context, next) =>
{
    // 从路由数据中获取operation参数
    if (context.GetRouteValue("operation") is string operation)
    {
        // 非public操作要求必须认证
        if (!operation.Equals("public", StringComparison.OrdinalIgnoreCase) && !context.User.Identity.IsAuthenticated)
        {
            // 触发内置认证挑战，自动返回对应响应（JWT返回401，Cookie跳转登录页）
            await context.ChallengeAsync();
            return;
        }
    }
    await next();
});

app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "query_api/{operation}/{query}",
    defaults: new { controller = "Query", action = "Index" }
);

app.Run();

方案二：自定义资源过滤器（MVC管道内生效） #

使用IAsyncResourceFilter在模型绑定前执行判断，更贴合MVC控制器场景：

1. 实现过滤器 #

public class DynamicAuthFilter : IAsyncResourceFilter
{
    private readonly IAuthenticationService _authService;

    public DynamicAuthFilter(IAuthenticationService authService)
    {
        _authService = authService;
    }

    public async Task OnResourceExecutionAsync(ResourceExecutingContext context, ResourceExecutionDelegate next)
    {
        if (context.RouteData.Values.TryGetValue("operation", out var opValue) && opValue is string operation)
        {
            if (!operation.Equals("public", StringComparison.OrdinalIgnoreCase))
            {
                // 手动触发内置认证流程
                var authResult = await _authService.AuthenticateAsync(context.HttpContext, null);
                if (!authResult.Succeeded || !authResult.Principal.Identity.IsAuthenticated)
                {
                    // 返回认证挑战
                    context.Result = new ChallengeResult();
                    return;
                }
                // 将认证后的用户信息绑定到请求上下文
                context.HttpContext.User = authResult.Principal;
            }
        }
        await next();
    }
}

2. 注册过滤器 #

全局注册（所有控制器生效）

builder.Services.AddControllers(options =>
{
    options.Filters.Add<DynamicAuthFilter>();
});

局部注册（仅目标控制器生效）

[TypeFilter(typeof(DynamicAuthFilter))]
public class QueryController : ControllerBase
{
    // ...
}

方案三：Action内直接处理（快速实现，耦合性高） #

如果仅单个Action需要该逻辑，可直接在Action内手动判断：

[HttpPost]
public async Task<IActionResult> Index(string operation, string query)
{
    if (!operation.Equals("public", StringComparison.OrdinalIgnoreCase))
    {
        // 触发内置认证流程
        var authResult = await HttpContext.AuthenticateAsync();
        if (!authResult.Succeeded || !authResult.Principal.Identity.IsAuthenticated)
        {
            // 返回认证挑战响应
            return Challenge();
        }
        HttpContext.User = authResult.Principal;
    }

    return await _queryService.Execute(this, operation, query);
}

关键说明 #

• 所有方案均复用Asp.Net Core内置认证逻辑，无需从头实现认证流程；
• ChallengeAsync()/Challenge()会根据你配置的认证方案自动返回对应响应（如JWT返回401，Cookie跳转登录页）；
• 若需指定特定认证方案，可传入方案名称，例如await context.ChallengeAsync(JwtBearerDefaults.AuthenticationScheme);。

内容的提问来源于stack exchange，提问作者ADM-IT