ASP.NET Web API（非Core）：AllowAnonymous请求不创建会话的方案咨询

一、在Application_PostAuthorizeRequest中判断Action是否带有[AllowAnonymous]特性 #

完全可以实现。你需要通过当前请求的路由数据定位到对应的控制器和Action，再通过反射检查是否存在[AllowAnonymous]特性。具体代码如下：

protected void Application_PostAuthorizeRequest()
{
    var context = HttpContext.Current;
    if (context == null) return;

    // 获取路由数据中的控制器和Action名称
    var routeData = context.Request.RequestContext.RouteData;
    var controllerName = routeData.Values["controller"]?.ToString();
    var actionName = routeData.Values["action"]?.ToString();

    if (string.IsNullOrEmpty(controllerName) || string.IsNullOrEmpty(actionName))
    {
        // 无法定位到具体Action，默认开启会话（可根据需求调整）
        context.SetSessionStateBehavior(SessionStateBehavior.Required);
        return;
    }

    // 获取控制器类型
    var controllerType = Type.GetType($"YourNamespace.Controllers.{controllerName}Controller, YourAssemblyName");
    if (controllerType == null)
    {
        context.SetSessionStateBehavior(SessionStateBehavior.Required);
        return;
    }

    // 获取目标Action方法（若存在重载，需根据请求参数补充匹配逻辑）
    var actionMethod = controllerType.GetMethods()
        .FirstOrDefault(m => m.Name.Equals(actionName, StringComparison.OrdinalIgnoreCase) && 
                             m.GetCustomAttributes<AllowAnonymousAttribute>().Any());

    // 检查Action或控制器是否带有[AllowAnonymous]特性
    var hasAllowAnonymous = actionMethod != null || 
                            controllerType.GetCustomAttributes<AllowAnonymousAttribute>().Any();

    // 根据特性设置会话行为：匿名请求禁用会话，否则启用
    context.SetSessionStateBehavior(hasAllowAnonymous ? SessionStateBehavior.Disabled : SessionStateBehavior.Required);
}

注意：

• 替换代码中的YourNamespace和YourAssemblyName为实际的项目命名空间和程序集名称
• 若Action存在重载，需根据请求参数补充匹配逻辑，避免误判

二、ActionFilter中调用SetSessionStateBehavior报错的原因及解决 #

报错原因 #

HttpContext.SetSessionStateBehavior必须在HttpApplication.AcquireRequestState事件触发之前调用，而ActionFilter的执行时机（比如ActionExecuting）是在AcquireRequestState事件之后，此时会话状态已经开始初始化，无法再修改会话行为，因此会抛出该错误。

替代方案 #

不要在ActionFilter中处理会话行为设置，而是回到Application_PostAuthorizeRequest或更早的Application_AuthorizeRequest事件中处理，也就是第一种方案的思路——通过路由数据判断是否为匿名请求，再设置对应的会话行为。

若需要更精细化的路由级控制，也可以自定义IRouteHandler在路由匹配阶段设置会话行为，但实现复杂度更高，不如在PostAuthorizeRequest中处理直接。

内容的提问来源于stack exchange，提问作者Max