ASP.NET Core中[Authorize]特性权限验证失效求助

1. 修正中间件执行顺序 #

你的Program.cs中认证和授权中间件的顺序颠倒了，ASP.NET Core要求先执行认证（UseAuthentication），再执行授权（UseAuthorization），否则授权逻辑会在用户身份认证完成前执行，直接导致[Authorize]验证失效。

修正后的Program.cs代码片段：

app.UseHttpsRedirection();
app.UseStaticFiles();

app.UseRouting();

// 先执行认证，再执行授权
app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");

2. 使用正确的路由访问页面 #

ASP.NET Core默认路由规则会自动去掉控制器名称中的Controller后缀，所以正确的访问路径是：
/Master/Index
而不是/MasterController/Index，后者会因找不到对应控制器返回404错误。

3. 基于角色的精准授权（可选） #

如果你的需求是仅允许指定角色的用户访问，需要在[Authorize]特性中明确指定角色，比如：

public class MasterController : Controller
{
    // 仅允许Role为"Client"或"Staff"的用户访问
    [Authorize(Roles = "Client,Staff")]
    public IActionResult Index()
    {
        return View();
    }
}

确保注册Claims时，ClaimTypes.Role的值和这里指定的角色完全匹配。

额外验证点 #

• 登录后可通过浏览器开发者工具（Application -> Cookies）查看生成的Cookie内容，或在控制器中通过User.Claims输出当前用户的Claims集合，确认身份信息正确。
• 检查CookieAuthentication配置中的LoginPath指向的登录页面，确保其能正常完成用户认证并生成Cookie。

内容的提问来源于stack exchange，提问作者Dorialean