.NET 5 Web API自定义CustomAuthorizeAttribute断点未触发问题求助

1. 中间件顺序配置错误 #

这是最常见的原因，ASP.NET Core 中间件严格按注册顺序执行，授权逻辑触发顺序要求：

• app.UseAuthentication()（身份认证中间件）必须放在app.UseAuthorization()（授权中间件）之前
• app.UseAuthorization()必须放在app.UseRouting()之后、app.UseEndpoints()之前

如果顺序颠倒，请求在进入你自定义的过滤器之前就会被默认授权逻辑拦截，直接返回401，不会触发OnAuthorization方法。
正确的配置示例如下：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 异常处理、静态文件、CORS等前置中间件
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }

    app.UseRouting();

    // 注意顺序：先认证、再授权
    app.UseAuthentication();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

2. 全局/默认授权策略提前拦截 #

如果你在ConfigureServices中配置了全局默认授权策略，要求所有请求必须满足指定认证/授权规则，而当前请求未通过基础认证（比如没有携带合法Token），框架会在执行自定义过滤器之前就返回401，不会走到你写的Attribute逻辑。

3. 授权策略配置冲突 #

如果你给CustomAuthorizeAttribute指定了Policy参数，或者在Action/Controller上同时配置了其他[Authorize]特性、或者在端点映射时调用了RequireAuthorization()指定了策略，当策略不满足时，框架默认逻辑会优先拦截，不会进入你的自定义过滤器。

4. 调试匹配问题 #

• 运行的代码和调试的代码版本不一致，pdb符号文件不匹配，导致断点无法命中
• 附加进程错误：比如启动的是IIS Express站点，却附加了dotnet.exe进程，或者反过来
• 请求是CORS预检OPTIONS请求，被CORS策略拦截返回401，实际业务请求未发出，自然不会命中断点

内容的提问来源于stack exchange，提问作者psj01