IIS托管模块中Authenticate事件是否每次请求都会触发？

默认配置下，你实现的自定义认证逻辑会在每一次请求触发，包括jpg这类静态资源请求，每次都会产生对应的数据库访问开销，IIS不会自动帮你缓存认证结果跳过校验。

• HTTP 基本认证本身是无状态协议设计：浏览器确实会在同域的所有后续请求中自动携带Authorization请求头，不需要重复弹窗索要凭据，但服务端不会自动留存“这个用户之前已经认证过”的状态。
• 你是自行在AuthenticateRequest管道事件上挂载的自定义处理逻辑，不属于IIS/ASP.NET内置的带状态缓存的认证模块（比如Windows认证、Forms认证），只要请求走到集成管道的认证阶段，就会执行你绑定的AuthenticateUser方法，没有内置的跳过逻辑。
• 如果没有做特殊的管道配置，静态资源请求同样会走完整的托管管道流程，你的认证逻辑对静态资源请求也会生效，一样会触发数据库查询。

你参考官方教程写的事件挂载、用户主体赋值代码本身是标准实现：

// 挂载认证事件
context.AuthenticateRequest += new EventHandler(this.AuthenticateUser);

// 校验通过后赋值请求用户主体
context.User = new GenericPrincipal(new GenericIdentity(userName), null);

只是这套原生写法没有做任何结果缓存，才会产生逐请求查库的开销。

• 增加短周期内存缓存：将解码后的用户名+密码哈希作为缓存键，缓存校验通过的用户信息，设置5-15分钟的滑动过期时间即可，后续请求先查缓存，命中就直接赋值context.User，跳过数据库访问。注意不要设置过长的过期时间，避免密码修改、权限调整后状态不生效。
• 配置静态资源内核缓存：如果静态资源不需要做权限控制，可以开启IIS内核模式输出缓存，让HTTP.SYS在请求进入托管管道之前就直接返回静态资源响应，根本不会触发你的托管模块逻辑，能大幅降低静态资源带来的性能开销。
• 替换为带签名票据的认证逻辑：首次凭据校验通过后，给客户端下发签名的身份Cookie，后续请求优先校验Cookie签名和有效期，校验通过就直接构造用户主体，不需要查库，只有Cookie无效/过期时才走数据库校验逻辑。

内容的提问来源于stack exchange，提问作者SolidSnake4444