为何GlobalConfiguration.Configure配置的授权不生效于MVC控制器

你遇到的授权配置不互通问题，本质是因为同项目下的ASP.NET MVC和ASP.NET Web API是两套完全独立的运行管道，二者的路由系统、过滤器系统、控制器执行逻辑都是分开实现的，不存在跨管道自动生效的"全局配置"：

• 你在WebApiConfig.cs中通过config.Filters.Add(new MyAPIAuthAttribute())注册的是Web API专属全局过滤器，这个特性继承自System.Web.Http.AuthorizeAttribute，只会在Web API请求管道中被识别执行，完全不会作用于MVC控制器的请求。
• 你当前项目的FilterConfig.cs为空，MVC管道对应的全局过滤器集合GlobalFilters.Filters中没有注册任何授权相关的过滤器，所以访问MVC控制器动作时自然不会触发授权校验逻辑。

你的思路完全正确，落地时注意区分两个管道的特性类型即可：

1. 不能直接把Web API用的MyAPIAuthAttribute注册到MVC全局过滤器里。MVC的授权特性需要继承自System.Web.Mvc.AuthorizeAttribute，和Web API的System.Web.Http.AuthorizeAttribute是不同命名空间下的独立类型，分属两个管道，无法混用。
2. 你可以参考MyAPIAuthAttribute的逻辑，实现一个继承自MVC版AuthorizeAttribute的自定义授权特性，重写未授权请求的处理逻辑，实现和API一致的返回规则，再把它注册到FilterConfig.cs中即可全局生效，参考代码：

public class FilterConfig
{
    public static void RegisterGlobalFilters(GlobalFilterCollection filters)
    {
        // 注册MVC全局授权过滤器
        filters.Add(new MyMVCAuthAttribute());
        // 按需添加其他MVC全局过滤器，比如默认错误处理
        filters.Add(new HandleErrorAttribute());
    }
}

补充说明：你在Startup.Auth.cs中配置的Cookie认证是Owin层的认证逻辑，MVC和Web API管道都可以读取到认证生成的用户身份，不需要重复实现认证逻辑，只需要分别适配两个管道的授权过滤器即可。

内容的提问来源于stack exchange，提问作者variable