如何在ABP框架中实现全局默认授权策略（替代AuthorizeAttribute）？

要在ABP.io框架中实现全局保护所有控制器方法（无需逐个添加[Authorize]特性），可以通过ASP.NET Core的端点路由配置结合ABP的模块系统完成，具体步骤如下：

1. 定位到HTTP模块的初始化方法 #

找到项目中的HttpApiHostModule（单体项目可能是HttpApiModule），在该模块的OnApplicationInitialization方法中配置HTTP管道。

2. 配置全局端点授权 #

在端点路由配置中，对所有控制器端点启用RequireAuthorization，同时排除不需要授权的公开端点（如Swagger、健康检查等）：

public override void OnApplicationInitialization(ApplicationInitializationContext context)
{
    var app = context.GetApplicationBuilder();
    
    // 确保认证、授权中间件顺序正确（ABP默认已添加，无需重复注册）
    app.UseAuthentication();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        // 全局保护所有控制器端点，默认需要授权
        endpoints.MapControllers().RequireAuthorization();

        // 配置允许匿名访问的公开端点
        endpoints.MapSwagger().AllowAnonymous();
        endpoints.MapSwaggerUI().AllowAnonymous();
        endpoints.MapHealthChecks("/health").AllowAnonymous();
        // 可根据实际需求添加其他匿名端点，比如静态资源、公开接口等
    });
}

3. 处理例外情况 #

如果有个别控制器或方法不需要授权，直接在对应的类或方法上添加[AllowAnonymous]特性即可，它会覆盖全局的授权要求：

[AllowAnonymous]
public class PublicDemoAppService : ApplicationService, IPublicDemoAppService
{
    public string GetPublicInfo()
    {
        return "这是公开可访问的内容";
    }
}

注意事项 #

• 必须保证UseAuthentication()和UseAuthorization()中间件在UseEndpoints()之前执行，否则授权逻辑不会生效。
• ABP自动生成的应用服务控制器会自动继承该全局配置，无需额外修改应用服务代码。

内容的提问来源于stack exchange，提问作者Александр Сысоев