开发模式下添加模拟用户遇未授权错误，求可行实现方案

你的问题根源在于创建ClaimsIdentity时未指定认证类型，导致HttpContext.User.Identity.IsAuthenticated为false，授权中间件会判定用户未认证，因此即使添加了过滤器，仍会返回未授权错误。以下是具体修复方案：

1. 修正模拟用户逻辑（过滤器/中间件二选一） #

方案A：修改ActionFilter，添加认证类型 #

更新你的FakeUserFilter，给ClaimsIdentity指定一个认证类型（比如"FakeAuth"），确保用户被标记为已认证：

internal class FakeUserFilter : IAsyncActionFilter
{
    public async Task OnActionExecutionAsync(ActionExecutingContext context, ActionExecutionDelegate next)
    {
        // 指定认证类型，使IsAuthenticated返回true
        var identity = new ClaimsIdentity(new List<Claim>
        {
            new(ClaimTypes.NameIdentifier, "123"),
            new(ClaimTypes.Name, "Test user"),
            new(ClaimTypes.Email, "test@example.com"),
            new(ClaimTypes.Role, "Admin")
        }, "FakeAuth");

        context.HttpContext.User = new ClaimsPrincipal(identity);

        await next();
    }
}

方案B：改用中间件（更推荐，执行时机更早） #

中间件会在认证中间件之后、授权中间件之前执行，更适合设置认证用户：

internal class FakeUserMiddleware
{
    private readonly RequestDelegate _next;

    public FakeUserMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        var identity = new ClaimsIdentity(new List<Claim>
        {
            new(ClaimTypes.NameIdentifier, "123"),
            new(ClaimTypes.Name, "Test user"),
            new(ClaimTypes.Email, "test@example.com"),
            new(ClaimTypes.Role, "Admin")
        }, "FakeAuth");

        context.User = new ClaimsPrincipal(identity);

        await _next(context);
    }
}

2. 配置服务/中间件，仅在开发环境启用 #

针对ActionFilter方案 #

修改AddControllers的配置，移除AllowAnonymousFilter（不需要全局匿名，模拟用户已通过认证），仅在开发环境添加模拟过滤器：

builder.Services.AddControllers(options =>
{
    if (builder.Environment.IsDevelopment())
    {
        options.Filters.Add(new FakeUserFilter());
    }
});

针对中间件方案 #

在Program.cs中，在UseAuthentication之后、UseAuthorization之前添加中间件：

app.UseAuthentication();

// 仅在开发环境启用模拟用户中间件
if (app.Environment.IsDevelopment())
{
    app.UseMiddleware<FakeUserMiddleware>();
}

app.UseAuthorization();

3. 移除全局匿名配置 #

删除之前的全局AllowAnonymousAttribute配置，这样控制器上的[Authorize]属性会正常识别模拟用户的认证状态和Claims：

// 移除这段代码
// if (app.Environment.IsDevelopment())
// {
//     app.MapControllers().WithMetadata(new AllowAnonymousAttribute());
// }
// else
// {
//     app.MapControllers();
// }

// 直接保留默认配置
app.MapControllers();

额外注意事项 #

• 如果你的生产环境使用Azure AD的特定Claim类型（比如roles而非ClaimTypes.Role），需要同步调整模拟Claim的类型，确保授权策略一致：

  new Claim("roles", "Admin") // 匹配Azure AD的角色声明
  

• 可以通过配置项（比如appsettings.Development.json中的UseFakeUser）替代环境判断，更灵活地控制模拟功能的开关。

内容的提问来源于stack exchange，提问作者Akshay