ASP.NET Core 6.0 Web API中AllowAnonymous属性失效问题排查

我在ASP.NET Core 6.0中配置了自定义认证方案并将其设为默认，代码如下：

// 启用认证，添加自定义方案并设为默认
builder.Services.AddAuthentication(opts =>
        opts.DefaultAuthenticateScheme = "Custom")
    .AddScheme<CustomAuthSchemeOptions, CustomAuthSchemeHandler>("Custom", null);

// 其他代码...

app.UseAuthentication();
app.UseAuthorization();

// 为Web API使用属性路由
app.MapControllers();

CustomAuthSchemeOptions 为空，CustomAuthSchemeHandler 的实现如下：

public class CustomAuthSchemeHandler: AuthenticationHandler<CustomAuthSchemeOptions>
{
    public CustomAuthSchemeHandler(
        IOptionsMonitor<CustomAuthSchemeOptions> options,
        ILoggerFactory logger,
        UrlEncoder encoder,
        ISystemClock clock) : base(options, logger, encoder, clock)
    {
    }

    protected async override Task<AuthenticateResult> HandleAuthenticateAsync()
    {
        Console.WriteLine("Authenticating..."); // 此处应为日志记录
        var principal = new ClaimsPrincipal(new ClaimsIdentity("Test"));
        var ticket = new AuthenticationTicket(principal, "Custom");
        return AuthenticateResult.Success(ticket);
    }
}

我理解设置默认认证方案后，所有控制器及操作会自动强制认证。现在希望部分控制器/操作无需认证，有两种思路：

• 移除默认认证方案，在需要认证的地方显式使用 [Authorize] 属性
• 在特定场景使用 [AllowAnonymous] 属性禁用认证

第一种方案可行，但第二种方案无法生效。如下控制器代码中，[AllowAnonymous] 似乎未起作用，认证方案处理器仍会被调用，用户始终显示已认证：

[ApiController]
[Route("[controller]")]
public class WeatherForecastController : ControllerBase
{
    [HttpGet("test")]
    [AllowAnonymous]
    // ^^^^^^^^^^^^^
    public string Get()
    {
        return HttpContext.User.Identity.IsAuthenticated ? "YES" : "NO";
    }
}

请问我忽略了什么？

解答 #

你混淆了**认证（Authentication）和授权（Authorization）**的核心概念，这是问题根源：

1. UseAuthentication() 的作用：它会针对每个请求执行默认认证方案的 HandleAuthenticateAsync，这个过程仅负责识别用户身份，和是否允许访问接口无关——所以不管有没有 [AllowAnonymous]，处理器都会被调用，HttpContext.User 会被设置为已认证状态，这是正常行为。

2. [AllowAnonymous] 的作用：它只作用于授权阶段（即 UseAuthorization() 中间件）。你误以为设置默认认证方案会自动强制授权，这是错误认知——默认情况下，ASP.NET Core不会因为你配置了认证方案就要求所有接口必须通过授权检查。

正确实现方式

如果你想让默认情况下所有接口都需要认证，仅部分接口允许匿名访问，需要补充两步配置：

• 保留现有默认认证方案的配置
• 添加全局 [Authorize] 过滤器，让授权阶段默认要求用户已认证，此时 [AllowAnonymous] 才能生效

添加全局过滤器的代码：

builder.Services.AddControllers(options =>
{
    // 添加全局授权过滤器，默认要求用户已认证
    var policy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
    options.Filters.Add(new AuthorizeFilter(policy));
});

配置完成后：

• 所有接口默认会触发授权检查，未认证用户无法访问
• 标记了 [AllowAnonymous] 的接口会跳过授权检查，可正常访问（认证处理器仍会执行，但不影响接口访问权限）
• 如果你的需求是完全跳过认证过程（不调用自定义处理器），只能采用第一种方案，或者在处理器内判断当前端点是否带有 [AllowAnonymous] 属性提前返回，但这种方式不符合ASP.NET Core的设计规范，不推荐使用

内容的提问来源于stack exchange，提问作者mcont