如何实现在本地禁用.NET Core授权中间件且不影响Staging Server？

这是个非常常见的开发需求，完全不用每次手动注释中间件，有几个优雅的方案可以实现，而且不会影响 staging 环境：

方案一：基于环境标识自动判断 #

.NET Core 本身就内置了环境区分机制（Development/Staging/Production），我们可以直接在服务注册时判断当前环境是否为开发环境，动态添加AllowAnonymousFilter：

var builder = WebApplication.CreateBuilder(args);

// 注册其他服务...

builder.Services.AddControllersWithViews(options =>
{
    // 仅在开发环境添加匿名访问过滤器
    if (builder.Environment.IsDevelopment())
    {
        options.Filters.Add(new Microsoft.AspNetCore.Mvc.Authorization.AllowAnonymousFilter());
    }
});

var app = builder.Build();

// 配置中间件...

这个方案的优势是零额外配置，完全依赖.NET Core默认的环境标识逻辑：本地开发时环境默认是Development，部署到 staging 时环境会设置为Staging，代码会自动跳过过滤器的添加，根本不用担心配置泄露的问题。

方案二：用环境专属配置文件控制 #

如果你需要更灵活的开关（比如偶尔在开发环境也想测试授权逻辑），可以在appsettings.Development.json里添加一个自定义配置项：

{
  "AppSettings": {
    "DisableAuthorization": true
  }
}

然后在代码里读取这个配置并判断：

var builder = WebApplication.CreateBuilder(args);

var disableAuth = builder.Configuration.GetValue<bool>("AppSettings:DisableAuthorization");

builder.Services.AddControllersWithViews(options =>
{
    if (disableAuth)
    {
        options.Filters.Add(new Microsoft.AspNetCore.Mvc.Authorization.AllowAnonymousFilter());
    }
});

放心，appsettings.Development.json是开发环境专属配置文件，默认的.NET Core发布流程会自动排除这类环境专属文件，不会被打包到 staging 或生产环境中，完全不用担心配置泄露。

方案三：用系统环境变量控制 #

如果不想修改配置文件，还可以通过系统环境变量来控制：

1. 本地开发时，设置环境变量DISABLE_AUTH=true（Windows可以用setx DISABLE_AUTH true，Linux/macOS用export DISABLE_AUTH=true）
2. 代码里读取这个变量：

var disableAuth = bool.TryParse(Environment.GetEnvironmentVariable("DISABLE_AUTH"), out var result) && result;

builder.Services.AddControllersWithViews(options =>
{
    if (disableAuth)
    {
        options.Filters.Add(new Microsoft.AspNetCore.Mvc.Authorization.AllowAnonymousFilter());
    }
});

环境变量是本地系统级别的配置，不会跟着代码部署到服务器，非常安全。

为什么不推荐注释代码？ #

手动注释中间件不仅容易遗漏（比如某次部署忘了恢复），还会增加代码维护成本，上面的方案都是无侵入式的条件判断，代码逻辑清晰，环境隔离彻底，是业内的最佳实践。

内容的提问来源于stack exchange，提问作者WiseStrawberry