.NET 6 OData中自定义AuthorizationHandler重复执行问题咨询

1. 为什么会出现重复调用？ #

在.NET 6的OData请求处理流程中，授权逻辑会被多次触发，具体原因如下：

• 第一次调用对应ASP.NET Core常规授权管道：比如全局注册的授权策略或控制器上的[Authorize]标记触发，此时context.Resource是DefaultHttpContext，代表整个请求的基础上下文。
• 后两次调用来自OData的特定处理阶段：OData在路由匹配、元数据校验或查询解析的过程中，会内部触发额外的授权检查。AuthorizationFilterContextSealed是ASP.NET Core框架内部对AuthorizationFilterContext的密封实现，用于在筛选器管道中传递上下文，属于框架内部细节，因此官方文档不会公开相关信息。

2. 避免重复调用的方案与最佳实践 #

能否避免重复调用？ #

可以通过以下方式减少重复触发：

• 避免同时在全局注册授权策略和在OData控制器/方法上标记自定义AuthorizeAttribute：若已全局注册授权逻辑，OData端点会自动继承该策略，无需重复标记。
• 针对OData元数据端点单独配置匿名访问：如果元数据接口不需要授权，可单独开放，减少一次授权触发。

无法避免时的处理实践 #

由于AuthorizationFilterContextSealed是内部类，不能直接强转，可按以下方式处理：

• 通过父类访问上下文：AuthorizationFilterContextSealed本质是AuthorizationFilterContext的子类，可通过as操作符转换为父类类型来获取上下文信息：

  var filterContext = context.Resource as AuthorizationFilterContext;
  if (filterContext != null)
  {
      // 处理筛选器上下文相关逻辑
  }
  

• 幂等处理授权逻辑：利用HttpContext.Items标记当前请求是否已完成授权校验，避免重复执行核心逻辑：

  // 先获取当前请求的HttpContext
  var httpContext = context.Resource is DefaultHttpContext defaultCtx 
      ? defaultCtx 
      : (context.Resource as AuthorizationFilterContext)?.HttpContext;
  
  if (httpContext == null) return Task.CompletedTask;
  
  // 检查是否已处理过授权
  if (httpContext.Items.ContainsKey("AuthAlreadyHandled"))
  {
      context.Succeed(requirement);
      return Task.CompletedTask;
  }
  
  // 执行实际授权校验逻辑
  // ...
  
  // 标记已处理，避免重复执行
  httpContext.Items["AuthAlreadyHandled"] = true;
  context.Succeed(requirement);
  

• 按需跳过非目标上下文：若仅需在常规请求上下文（DefaultHttpContext）中执行授权，可直接跳过其他类型的Resource：

  if (!(context.Resource is DefaultHttpContext))
  {
      context.Succeed(requirement);
      return Task.CompletedTask;
  }
  // 执行核心授权逻辑
  

内容的提问来源于stack exchange，提问作者Youlounn