ASP.NET Core 5中如何在子类修改控制器方法的Authorize特性？

当子类重写父类的方法时，ASP.NET Core 默认会叠加继承的授权特性——父类的[Authorize(Roles = "Admin")]和子类的[Authorize(Roles = "User")]会同时生效，采用逻辑与（AND）的校验规则。这意味着访问子类的Index方法需要用户同时具备Admin和User两个角色，所以仅拥有User角色的用户会被拒绝访问，返回403错误。

可以通过[OverrideAuthorization]特性覆盖父类的授权规则，只启用子类自定义的授权逻辑：

1. 先引入对应命名空间：using Microsoft.AspNetCore.Mvc.Authorization;
2. 在子类的Index方法上添加[OverrideAuthorization]，再定义自己的[Authorize]特性：

public class ChildController : ParentController
{
    [OverrideAuthorization]
    [Authorize(Roles = "User")]
    public override IActionResult Index()
    {
        return null;
    }
}

该特性会告诉框架忽略父类方法上的授权配置，仅校验子类指定的User角色权限，拥有User角色的用户即可正常访问。

内容的提问来源于stack exchange，提问作者Masood Zamani