如何在OnAuthorizationAsync()方法中阻断Action/Controller访问

给AuthorizationFilterContext.Result赋值任意非null的IActionResult实例后，ASP.NET Core 请求管道会直接短路，跳过后续所有过滤器、目标Action的执行，直接将你赋值的Result结果返回给客户端，这就是授权过滤器阻断访问的核心逻辑。

常见阻断场景的实现代码 #

• 返回标准HTTP状态码响应
  最常用的是未登录返回401、已登录无权限返回403，直接使用框架内置的Result类型即可：

  public class CustomAuthorizationFilter : IAsyncAuthorizationFilter
  {
      public async Task OnAuthorizationAsync(AuthorizationFilterContext context)
      {
          // 执行自定义授权校验逻辑：如校验请求Token、核对用户权限点等
          var authResult = await ValidateAuthAsync(context);
          
          if (!authResult.IsAuthenticated)
          {
              // 未登录：返回401 Unauthorized
              context.Result = new UnauthorizedResult();
              return;
          }
          if (!authResult.HasPermission)
          {
              // 已登录无权限：返回403 Forbidden
              context.Result = new ForbidResult();
              return;
          }
      }
  
      private Task<AuthValidateResult> ValidateAuthAsync(AuthorizationFilterContext context)
      {
          // 替换为实际业务校验逻辑
          return Task.FromResult(new AuthValidateResult { IsAuthenticated = true, HasPermission = false });
      }
  }
  
  public class AuthValidateResult
  {
      public bool IsAuthenticated { get; set; }
      public bool HasPermission { get; set; }
  }
  

• 返回自定义结构化JSON响应
  如果项目需要统一错误响应格式，可以直接用JsonResult自定义返回内容和状态码：

  if (!authResult.HasPermission)
  {
      context.Result = new JsonResult(new
      {
          BizCode = 100403,
          Msg = "当前账号无权限访问该接口",
          Data = (object)null
      })
      {
          StatusCode = StatusCodes.Status403Forbidden
      };
      return;
  }
  

• 重定向到指定页面
  面向页面的MVC/Razor Pages项目中，未登录场景通常需要跳转到登录页，可以用RedirectResult：

  if (!authResult.IsAuthenticated)
  {
      var returnUrl = Uri.EscapeDataString(context.HttpContext.Request.Path + context.HttpContext.Request.QueryString);
      context.Result = new RedirectResult($"/Account/Login?returnUrl={returnUrl}");
      return;
  }
  

• 返回自定义文本/HTML内容
  如果需要返回非JSON的自定义内容，可以用ContentResult：

  context.Result = new ContentResult
  {
      StatusCode = StatusCodes.Status403Forbidden,
      Content = "<h1>访问被拒绝</h1><p>您没有权限查看当前资源</p>",
      ContentType = "text/html; charset=utf-8"
  };
  

关键注意事项 #

• 只要context.Result被赋值为非null值，管道就会触发短路，后续的资源过滤器、模型绑定、Action过滤器、Action方法本身、异常过滤器都不会执行
• 给Result赋值后建议直接return，避免执行后续不必要的授权逻辑
• 所有实现了IActionResult接口的类型都可以赋值给Result属性，你可以根据业务需求返回任意类型的响应，包括文件流、流式响应等。

内容的提问来源于stack exchange，提问作者user15961794