在AuthorizationHandler的GET动作中访问ModelState为空的问题

这是个很典型的场景问题，核心和ASP.NET Core的请求管道执行顺序、ModelState的填充逻辑直接相关，我来给你拆解清楚：

1. 授权中间件的执行早于模型绑定 #

ASP.NET Core的请求处理管道里，授权逻辑是在模型绑定之前运行的。当你的AuthorizationHandler被触发时，控制器的模型绑定流程还没启动——ModelState只有在模型绑定完成后才会被填充参数验证、类型转换等信息。你手动组装ActionContext的时候，只是把现有上下文数据整合起来，但并没有触发模型绑定的核心逻辑，所以ModelState自然是空的。

2. 手动创建ActionContext不会自动触发模型绑定 #

ActionContext本质上只是一个上下文容器，它不会主动调用模型绑定器去解析请求参数（比如GET的查询字符串、路由值）并填充ModelState。要让ModelState有内容，你需要显式触发模型绑定过程（比如用IModelBinderFactory创建绑定器并执行绑定），但这种做法在AuthorizationHandler里并不推荐——授权逻辑应该尽量轻量，依赖模型绑定会让授权和控制器逻辑过度耦合。

3. GET请求的参数特性放大了这个问题 #

GET请求的参数通常来自路由值或查询字符串，这些参数的模型绑定需要ASP.NET Core专门去解析、类型转换并映射到对应模型/参数上。你能拿到routeData里的原始值，但这些值并没有经过模型绑定的处理流程，自然也不会同步到ModelState中。

可行的解决方案 #

如果你的授权逻辑必须依赖请求参数的验证结果或绑定后数据，推荐这些做法：

• 直接从HttpContext提取参数并自行验证：绕过ModelState，从httpContext.Request.Query或routeData.Values里直接拿值，自己做简单的校验，比如：

  var rawId = routeData.Values["id"]?.ToString();
  if (!int.TryParse(rawId, out var validId))
  {
      // 处理无效参数的授权逻辑
  }
  

• 改用过滤器执行授权：如果必须依赖ModelState，可以使用IAuthorizationFilter，因为过滤器是在模型绑定之后运行的。注意要配置好过滤器的执行顺序，确保授权逻辑在业务逻辑之前触发。
• 自定义授权需求：把需要验证的参数封装到授权需求中，在需求处理逻辑里直接完成参数校验，不依赖ModelState。

内容的提问来源于stack exchange，提问作者Pavel Voronin