如何为NuGet包内的.NET6 ASP.NET控制器设置AllowAnonymous？

能否修改NuGet包中控制器的属性？ #

分两种情况处理：

• 若该NuGet包由你自主维护：直接修改源码，给目标控制器添加[AllowAnonymous]特性，重新打包发布即可解决问题。
• 若为第三方维护的NuGet包：无法直接修改已编译程序集中的控制器属性——编译后的程序集为只读状态，强行反编译修改再重打包不仅违反多数开源许可协议，还会导致后续无法正常升级包版本，不推荐此操作。

其他可行方案 #

方案1：针对Markdown路径跳过认证中间件 #

在应用启动配置（Program.cs/Startup.cs）中，通过分支逻辑让Markdown相关路径跳过认证授权流程：

// 仅对非Markdown路径启用认证授权
app.UseWhen(context => !context.Request.Path.StartsWithSegments("/markdown"), appBuilder =>
{
    appBuilder.UseAuthentication();
    appBuilder.UseAuthorization();
});

这样Markdown请求不会触发Azure AD登录，自然也不会丢失请求信息。

方案2：自定义前置中间件短路Markdown请求 #

编写自定义中间件，放在NuGet包的Markdown中间件之前，直接处理Markdown文件请求，不经过后续控制器和认证流程：

public class MarkdownBypassMiddleware
{
    private readonly RequestDelegate _next;
    private readonly IWebHostEnvironment _env;

    public MarkdownBypassMiddleware(RequestDelegate next, IWebHostEnvironment env)
    {
        _next = next;
        _env = env;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        var requestPath = context.Request.Path.Value;
        // 判断是否为Markdown文件请求
        if (requestPath.EndsWith(".md", StringComparison.OrdinalIgnoreCase))
        {
            var filePath = Path.Combine(_env.ContentRootPath, "MarkdownFiles", requestPath.TrimStart('/'));
            if (File.Exists(filePath))
            {
                var content = await File.ReadAllTextAsync(filePath);
                context.Response.ContentType = "text/markdown";
                await context.Response.WriteAsync(content);
                return; // 短路后续中间件
            }
        }
        await _next(context);
    }
}

注册中间件时确保它在NuGet包中间件之前：

app.UseMiddleware<MarkdownBypassMiddleware>();
// 注册NuGet包的Markdown中间件
app.UseMarkdownPackageMiddleware();

方案3：给Markdown路由添加匿名访问元数据 #

如果NuGet包的Markdown控制器通过约定路由注册，可在应用路由配置中给对应路由添加AllowAnonymousAttribute元数据：

app.MapControllerRoute(
    name: "markdown",
    pattern: "markdown/{*filePath}",
    defaults: new { controller = "Markdown", action = "Render" })
    .WithMetadata(new AllowAnonymousAttribute());

这会让该路由对应的控制器动作允许匿名访问，避免触发Azure AD登录。

内容的提问来源于stack exchange，提问作者Soeren Dalby