ASP.NET 4.7.1 身份验证重定向干扰MVC自定义Redirect代码问题咨询

问题触发根因 #

就算项目代码没有任何变更，这个问题本质是服务器运行时的.NET Framework运行环境更新导致的ASP.NET默认行为变化：
ASP.NET表单身份验证的默认逻辑会在HTTP管道的EndRequest阶段拦截响应，只要检测到响应状态码为401未授权，就会自动覆盖原有响应，跳转至配置的登录页。
在部分更新调整后，身份验证刚完成的阶段，调用return Redirect(redirectUrl)时，用户的身份标识还没有完全同步到HTTP上下文的生命周期中，管道会误判当前请求仍然属于未授权状态，直接覆盖你设置的302重定向目标，导致自定义跳转失效。

.NET Framework 4.7.1 版本相关触发更新 #

有两类官方更新会触发这个行为变更：

• 2021年后推送的ASP.NET表单身份验证安全加固补丁，收紧了未授权请求的判定规则，对身份验证流程未完全走完的请求，会统一判定为401状态
• 针对CVE-2021-42325等相关安全漏洞的修复更新，调整了身份验证状态的检查时机，检查逻辑晚于业务代码中重定向逻辑的执行时机，导致身份状态未同步就触发了默认重定向。

修复方案说明 #

你使用的System.Web.HttpContext.Current.Response.SuppressFormsAuthenticationRedirect = true是ASP.NET官方提供的标准解决方案，作用是显式告知表单身份验证模块，不要对当前响应执行默认重定向逻辑，该配置不会引入额外安全风险，属于该场景下的最佳实践。

内容的提问来源于stack exchange，提问作者Biprajit