如何在ASP.NET Core中为应用根路径启用授权验证

问题根本原因 #

标注[Authorize]的业务端点授权正常、仅根路径失效，90%以上的场景是根路径请求被优先级更高的中间件提前处理，没有走到授权中间件逻辑，最常见的前置处理中间件包括：

• 静态文件中间件：根路径默认返回wwwroot下的index.html/default.html等默认静态页
• 健康检查中间件：配置了根路径作为健康检查端点
• 其他自定义前置中间件

解决方案 #

根据你的应用类型选择对应配置即可：

方案1：MVC/Razor Page 应用 #

如果你的根路径映射到Controller的Action或者Razor Page，直接给根路径对应的端点加上强制授权规则即可，.NET 6+ 顶层语句配置（Program.cs）示例：

// 中间件顺序必须严格遵守，不能乱
app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();

// 原有控制器/页面映射
app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");
// 新增：给根路径回退端点加授权
app.MapFallbackToController("Index", "Home").RequireAuthorization();

// 如果是Razor Page应用，用下面的配置
// app.MapRazorPages();
// app.MapFallbackToPage("/Index").RequireAuthorization();

方案2：根路径返回静态首页的应用 #

如果根路径返回的是wwwroot下的静态页面，单独拦截根路径请求插入授权校验即可：

// 放在UseStaticFiles之前
app.UseWhen(context => context.Request.Path == "/", appBuilder =>
{
    appBuilder.UseAuthentication();
    appBuilder.UseAuthorization();
    appBuilder.Use(async (context, next) =>
    {
        // 未授权直接跳登录页，根据你的认证逻辑调整跳转地址
        if (!context.User.Identity?.IsAuthenticated ?? true)
        {
            context.Response.Redirect("/Account/Login");
            return;
        }
        await next();
    });
});

// 原有静态文件配置
app.UseStaticFiles();

方案3：最小API应用 #

直接给根路径的路由映射加RequireAuthorization扩展方法即可：

app.MapGet("/", () => "根路径返回内容").RequireAuthorization();

注意事项 #

所有中间件的顺序不能调换，必须先执行UseAuthentication、再执行UseAuthorization，最后配置端点映射，顺序错误会导致所有授权规则失效。
如果配置了健康检查、SPA静态文件回退等规则，需要确认这些规则的优先级低于授权中间件，或者单独给这些规则也加上授权配置。

内容的提问来源于stack exchange，提问作者Ellbar