默认Cookie认证下，如何在特定区域启用额外授权方案？

针对你遇到的两个问题，我整理了分步解决的方案，既解决PageHandlerModel.Page为空的问题，也实现了Cookie或Basic认证二选一的授权逻辑：

1. 解决PageHandlerModel.Page为空的问题 #

IPageHandlerModelConvention是针对页面的单个处理器方法（如OnGet/OnPost）的，此时Page属性可能尚未完成初始化。改用IPageModelConvention（针对整个页面模型）可以直接获取区域信息，且不会出现空引用问题：

public class AreaFiltersConvention : IPageModelConvention
{
    public string[] Areas { get; set; }

    public void Apply(PageModel model)
    {
        // 检查当前页面是否属于目标区域
        if (!string.IsNullOrEmpty(model.AreaName) && Areas.Contains(model.AreaName))
        {
            // 给目标区域页面添加自定义授权过滤器
            model.Filters.Add(new AuthorizeFilter("CookieOrBasicAuth"));
        }
    }
}

2. 配置支持OR条件的授权策略 #

你之前的问题是添加Basic认证方案时覆盖了原有策略，正确的做法是创建一个允许Cookie或Basic认证二选一的新策略，同时保留默认的Cookie认证逻辑：

services.AddAuthorization(options =>
{
    // 默认策略：仅允许Cookie认证的用户访问（保留原有逻辑）
    options.DefaultPolicy = new AuthorizationPolicyBuilder("Cookie")
        .RequireAuthenticatedUser()
        .Build();

    // 特定区域专用策略：允许Cookie OR Basic认证的用户访问
    options.AddPolicy("CookieOrBasicAuth", policy =>
    {
        // 添加两种认证方案，授权时会自动尝试任意一种
        policy.AuthenticationSchemes.Add("Cookie");
        policy.AuthenticationSchemes.Add("Basic");
        policy.RequireAuthenticatedUser();
    });
});

3. 注册认证方案与区域约定 #

3.1 注册Cookie和Basic认证中间件 #

确保同时启用两种认证方案（这里以Basic认证为例，你需要替换为实际的凭据验证逻辑）：

services.AddAuthentication()
    .AddCookie() // 默认Cookie认证
    .AddBasic(options =>
    {
        // 配置Basic认证的验证逻辑
        options.Events = new BasicAuthenticationEvents
        {
            OnValidateCredentials = async context =>
            {
                // 示例：替换为你的实际用户名密码验证逻辑
                if (context.Username == "admin" && context.Password == "yourPassword")
                {
                    var claims = new[] { new Claim(ClaimTypes.Name, context.Username) };
                    context.Principal = new ClaimsPrincipal(
                        new ClaimsIdentity(claims, BasicAuthenticationDefaults.AuthenticationScheme));
                    context.Success();
                }
            }
        };
    });

3.2 注册区域过滤器约定 #

将自定义约定添加到Razor Pages配置中，指定需要启用多认证的区域：

services.AddRazorPages(options =>
{
    options.Conventions.Add(new AreaFiltersConvention 
    { 
        Areas = new[] { "YourTargetArea" } // 替换为你的目标区域名称
    });
});

针对MVC控制器的适配 #

如果你的项目使用MVC控制器而非Razor Pages，可改用IControllerModelConvention：

public class AreaFiltersConvention : IControllerModelConvention
{
    public string[] Areas { get; set; }

    public void Apply(ControllerModel model)
    {
        var areaAttr = model.Attributes.OfType<AreaAttribute>().FirstOrDefault();
        if (areaAttr != null && Areas.Contains(areaAttr.RouteValue))
        {
            model.Filters.Add(new AuthorizeFilter("CookieOrBasicAuth"));
        }
    }
}

注册到MVC配置：

services.AddControllersWithViews(options =>
{
    options.Conventions.Add(new AreaFiltersConvention 
    { 
        Areas = new[] { "YourTargetArea" }
    });
});

关键说明 #

• 不破坏原有策略：默认策略仍仅使用Cookie认证，非目标区域的访问逻辑完全不受影响；
• OR条件实现：通过在策略中添加多个AuthenticationSchemes，授权系统会自动尝试使用任意一种方案认证用户，只要其中一种成功即视为通过授权；
• 空引用问题根源：IPageHandlerModelConvention针对单个处理器方法，此时Page属性尚未初始化；改用IPageModelConvention针对整个页面模型，可直接获取区域信息并添加过滤器。

内容的提问来源于stack exchange，提问作者Liero