为什么我的ASP.NET Core授权回退策略会覆盖AllowAnonymous特性？

算力阿峰

2026-9-23

问题原因及解决方案

Razor Pages 授权为页面级粒度，[AllowAnonymous] 特性仅在标注 PageModel 类时生效，标注在 OnGet/OnPost 等页面处理方法上不会生效，这是 Razor Pages 和 MVC 控制器的授权逻辑差异。
解决方法：将 [AllowAnonymous] 特性移动到对应页面的 PageModel 类上。
[AllowAnonymous] 特性引用了错误的命名空间，导致授权系统无法识别该标记。
解决方法：确认特性引用路径为 using Microsoft.AspNetCore.Authorization;。

通过 GetPolicy 获取命名策略赋值给回退策略时可能出现元数据关联异常。
解决方法：修改授权配置，直接构建回退策略，示例代码如下：

services.AddAuthorization(options =>
{
    options.AddPolicy("IsSystemAdmin", policy => policy.RequireRole("SystemAdmin"));
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireRole("SystemAdmin")
        .Build();
});

自定义的 Identity 页面未手动加 [AllowAnonymous] 标记。如果你通过脚手架生成了 Identity 的自定义页面，这类页面默认不会继承默认 Identity UI 的匿名访问标记，需要手动给登录、注册等公开页面的 PageModel 类添加 [AllowAnonymous]。
验证排查方法：新增一个空白测试 Razor 页面，仅给 PageModel 类标注 [AllowAnonymous]，其余逻辑留空，访问该页面确认是否能正常匿名打开，排除全局配置错误的可能性。