ASP.NET Core 3.1：无权限访问重定向至自定义Razor页面失败求助

针对你遇到的已通过AD认证但无对应组权限（返回403）无法重定向到自定义页面的问题，我整理了几个可行的解决方案，你可以根据自己的场景选择：

方案一：自定义全局中间件处理403状态码 #

这个方法适合全局统一处理所有已认证用户的403重定向问题，关键要注意中间件的顺序——必须放在UseAuthorization()之后，这样才能捕获到授权环节返回的403状态。

在Startup.cs的Configure方法中添加以下代码：

// 务必放在app.UseAuthorization()之后
app.Use(async (context, next) =>
{
    // 先让后续中间件处理请求
    await next();

    // 检查是否是已认证用户收到403响应
    if (context.Response.StatusCode == 403 && context.User.Identity.IsAuthenticated)
    {
        // 重定向到你的无权限页面
        context.Response.Redirect("/unAuthAccess");
    }
});

方案二：为自定义授权策略添加失败处理器 #

因为你用了[Authorize(Policy = "ADRoleOnly")]，直接针对这个策略配置授权失败逻辑会更精准，不会影响其他授权场景。

步骤1：注册自定义失败处理器和配置策略 #

在Startup.cs的ConfigureServices方法中：

services.AddAuthorization(options =>
{
    options.AddPolicy("ADRoleOnly", policy =>
    {
        policy.RequireRole("你的AD组名称"); // 替换成实际的AD组名称
        // 指定自定义失败处理器
        policy.FailureHandler = new CustomAuthorizationFailureHandler();
    });
});

// 把处理器注册到依赖注入容器
services.AddSingleton<IAuthorizationFailureHandler, CustomAuthorizationFailureHandler>();
// 注册IHttpContextAccessor，处理器需要用它获取当前请求上下文
services.AddHttpContextAccessor();

步骤2：实现自定义授权失败处理器 #

新建一个类：

public class CustomAuthorizationFailureHandler : IAuthorizationFailureHandler
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public CustomAuthorizationFailureHandler(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    public Task HandleAsync(AuthorizationHandlerContext context)
    {
        var httpContext = _httpContextAccessor.HttpContext;
        
        // 已认证但无权限时重定向到指定页面
        if (httpContext.User.Identity.IsAuthenticated)
        {
            httpContext.Response.Redirect("/unAuthAccess");
        }
        else
        {
            // 未认证用户返回401，触发AD登录流程
            httpContext.Response.StatusCode = 401;
        }

        return Task.CompletedTask;
    }
}

方案三：单个Razor页面后端直接处理（适合局部场景） #

如果只有首页需要这个逻辑，也可以在页面的后端代码里手动检查授权结果：

public class IndexModel : PageModel
{
    private readonly IAuthorizationService _authorizationService;

    public IndexModel(IAuthorizationService authorizationService)
    {
        _authorizationService = authorizationService;
    }

    public async Task<IActionResult> OnGetAsync()
    {
        // 检查当前用户是否符合ADRoleOnly策略
        var authResult = await _authorizationService.AuthorizeAsync(User, "ADRoleOnly");
        
        if (!authResult.Succeeded)
        {
            if (User.Identity.IsAuthenticated)
            {
                // 已认证无权限，跳转到指定页面
                return RedirectToPage("/unAuthAccess");
            }
            else
            {
                // 未认证，触发AD登录
                return Challenge();
            }
        }

        return Page();
    }
}

为什么之前的StatusCodePages方案无效？ #

你之前尝试的UseStatusCodePages系列方法失效，大概率是因为中间件顺序不对——如果这个中间件放在UseAuthorization()之前，它无法捕获到授权环节返回的403；另外，当Razor页面已经开始输出响应内容时，修改响应状态码或重定向会被阻止，所以全局中间件必须放在正确的执行顺序上。

内容的提问来源于stack exchange，提问作者john johnson