.NET Core自定义API Key认证在控制器上失效问题排查

一、检查控制器授权属性配置 #

• 确认OrderController是否添加了[Authorize]属性。如果未添加，接口会默认允许匿名访问：

  [ApiController]
  [Route("api/[controller]")]
  [Authorize] // 必须添加此属性启用认证校验
  public class OrderController : ControllerBase
  {
      // 接口方法实现
  }
  

• 检查根路径对应的端点（比如默认根路由处理逻辑、HomeController等）是否意外添加了[Authorize]属性，导致访问根路径触发认证要求。

二、验证自定义API Key中间件逻辑 #

• 排查中间件是否存在跳过/api/Order路径认证的代码，比如类似以下逻辑会直接放行该路径：

  if (context.Request.Path.StartsWithSegments("/api/Order"))
  {
      await _next(context);
      return;
  }
  

  若存在此类代码，需移除或调整，确保所有需要保护的接口都经过API Key校验。
• 确认中间件是否正确从HTTP Header提取API Key，与配置密钥对比后，在验证失败时返回401未授权响应。

三、检查中间件管道顺序 #

ASP.NET Core中间件执行顺序直接影响认证逻辑生效，需确保以下顺序：

1. UseRouting() 需在认证/授权中间件之前
2. 自定义API Key中间件需在 UseAuthorization() 之前
3. UseAuthentication()（若使用内置认证服务）需在UseAuthorization()之前

正确的管道配置示例：

app.UseRouting();

// 自定义API Key中间件放置在此处
app.UseMiddleware<ApiKeyMiddleware>();

app.UseAuthentication();
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
    endpoints.MapGet("/", async context =>
    {
        await context.Response.WriteAsync("Root Path");
    });
});

若自定义中间件放在UseAuthorization()之后，授权逻辑不会触发；若放在UseRouting()之前，可能无法正确匹配路由路径。

四、确认授权策略配置 #

如果使用自定义授权策略，需确保策略正确应用到控制器：

• 在服务配置中定义策略：

  services.AddAuthorization(options =>
  {
      options.AddPolicy("ApiKeyPolicy", policy =>
      {
          policy.RequireAuthenticatedUser();
          // 其他自定义校验规则
      });
  });
  

• 控制器上通过[Authorize(Policy = "ApiKeyPolicy")]绑定策略，确保需保护的接口都应用了正确策略。

五、排查根路径认证要求来源 #

• 检查根路径的端点配置（比如MapGet("/", ...)）是否被误加[Authorize]属性，或被中间件强制要求认证。
• 确认是否存在全局认证规则（比如services.AddAuthorization(options => options.FallbackPolicy = new AuthorizationPolicyBuilder().RequireAuthenticatedUser().Build());），导致根路径默认触发认证，而/api/Order因未加[Authorize]被匿名放行。

内容的提问来源于stack exchange，提问作者A.Goutam