ASP.NET Core角色认证配合Ajax调用权限验证是否正常

首先说最容易踩的前置坑：你当前项目还没集成身份认证模块，光给Action加[Authorize(Roles = "Admin")]特性完全不会生效，甚至会把所有请求都拦死——框架没有能识别用户登录状态、角色信息的组件，授权逻辑根本跑不起来。

等你按规范把ASP.NET Core的认证、角色授权模块配置完成（包括注册认证授权服务、正确放置中间件顺序、把角色信息写入用户身份凭据），特性的表现完全符合你的预期：

• 已登录且归属Admin角色的用户，发起Ajax调用不需要做额外的特殊适配，和普通页面请求逻辑一致，请求会自动携带对应认证凭据（同域场景下Cookie默认会自动携带，JWT认证需要手动加请求头），可以正常拿到接口返回的JSON数据
• 未登录的匿名用户、已登录但不属于Admin角色的用户，请求会被授权中间件直接拦截，根本进不到你写的查询数据库的Action业务逻辑里，拿不到接口返回的业务数据

别以为配完特性就万事大吉，Ajax和服务端的默认跳转逻辑天生不兼容，两个点必须处理：

• 状态码统一捕获：默认授权失败时，未登录返回401状态码，权限不足返回403状态码。普通页面请求框架会自动跳转到登录页/无权限提示页，但Ajax不会识别这个跳转逻辑，只会触发请求的error回调。你需要加全局Ajax拦截逻辑，比如用jQuery就配置$.ajaxSetup统一捕获401、403状态码，做对应的跳转或者提示，不然用户只会看到请求失败，不知道具体原因
• 认证凭据携带：如果是同域Cookie认证，默认配置下Ajax会自动携带Cookie不需要额外修改；如果是跨域请求、或者用JWT Token认证，必须给Ajax请求开withCredentials: true配置，或者主动在请求头里塞Authorization字段传Token，不然框架收不到认证信息，会把已登录的Admin用户也当成匿名用户拦下来

高频踩坑提醒：注册中间件的时候必须把认证、授权中间件放在路由、端点映射中间件的前面，顺序错了所有授权特性都不会生效。

内容的提问来源于stack exchange，提问作者Javad-M