ASP.NET MVC中处理过期OAuth Token及自定义过滤器执行问题

1. 让自定义过滤器在Token过期时仍执行的办法 #

你遇到这个问题的核心原因是：[Authorize]属于授权过滤器（AuthorizationFilter），它的执行优先级比你继承的ActionFilterAttribute（动作过滤器）高得多。当OAuth Token过期时，[Authorize]会直接拦截请求并返回401响应，根本轮不到动作过滤器的OnActionExecuting方法执行。

要解决这个问题，你需要把自定义过滤器的继承类从ActionFilterAttribute改成AuthorizationFilterAttribute，这样你的自定义逻辑会和[Authorize]处于同一个执行阶段，哪怕Token过期也能被触发。修改后的代码示例：

public class AuthorizeLoginAttribute : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        // 你的自定义代码，现在Token过期时也会执行
        // 提示：如果需要保留默认的Token验证逻辑，记得在这里调用 base.OnAuthorization(actionContext);
        // 也可以完全自行处理Token有效性判断和后续逻辑
    }
}

如果有多个授权过滤器需要控制执行顺序，可以给过滤器添加[FilterOrder]特性（或者在Web API的FilterConfig中注册时指定顺序），确保你的自定义过滤器在默认[Authorize]之前运行。

2. 是否需要搭配[Authorize]过滤器？ #

这得看你的[Filters.AuthorizeLogin()]具体做了什么：

• 如果这个自定义过滤器已经实现了完整的身份验证逻辑（比如验证OAuth Token有效性、检查用户是否登录等），那完全不需要再加[Authorize]，重复添加会导致冗余验证，甚至可能引发逻辑冲突。
• 如果自定义过滤器只是做额外的登录相关检查（比如验证用户操作权限、记录登录行为日志等），而Token的有效性验证还是依赖默认的[Authorize]，那需要保留[Authorize]，两者配合完成完整的校验流程。

内容的提问来源于stack exchange，提问作者Ibrahim shaikh