使用自定义认证授权时ASP.NET Core健康检查如何校验User-Agent？

问题排查与解决方案 #

首要错误点 #

你同时犯了两个直接导致授权策略失效的错误：

1. 链式调用语法错误：RequireAuthorization("HealthCheckPolicy")末尾多写了分号，导致后续的.WithMetadata(new AllowAnonymousAttribute())没有绑定到健康检查端点上，属于无效游离代码。
2. 授权逻辑优先级错误：即使修正分号问题，AllowAnonymous属性的优先级在ASP.NET Core授权体系中高于所有授权策略，只要加了这个属性，所有自定义授权校验都会被直接跳过，你的User-Agent校验规则自然不会生效。

你提到的「开放健康检查接口匿名访问权限」是针对未使用App Services认证的场景，不需要额外加AllowAnonymous，只需要保证你的自定义授权策略不校验用户登录状态即可，加AllowAnonymous反而会让你自定义的User-Agent校验完全失效。

第一步修复端点配置 #

直接移除AllowAnonymous相关配置，修正后代码如下：

endpoints.MapHealthChecks("/health", new HealthCheckOptions { AllowCachingResponses = false })
        .RequireAuthorization("HealthCheckPolicy");

其他排查项 #

如果修复后还是不生效，依次检查以下配置：

• 确认UserAgentAuthorizationHandler和UserAgentRequirement的实现逻辑正确，参考标准实现：

// 自定义校验规则
public class UserAgentRequirement : IAuthorizationRequirement
{
    public string RequiredUserAgent { get; }
    public UserAgentRequirement(string requiredUserAgent) => RequiredUserAgent = requiredUserAgent;
}

// 自定义授权处理器
public class UserAgentAuthorizationHandler : AuthorizationHandler<UserAgentRequirement>
{
    private readonly IHttpContextAccessor _httpContextAccessor;
    public UserAgentAuthorizationHandler(IHttpContextAccessor httpContextAccessor) => _httpContextAccessor = httpContextAccessor;

    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, UserAgentRequirement requirement)
    {
        var userAgent = _httpContextAccessor.HttpContext?.Request.Headers.UserAgent.ToString();
        if (userAgent != null && userAgent.Contains(requirement.RequiredUserAgent))
        {
            context.Succeed(requirement);
        }
        else
        {
            context.Fail();
        }
        return Task.CompletedTask;
    }
}

• 确认中间件顺序正确，UseAuthentication、UseAuthorization必须放在UseEndpoints之前，顺序错误会导致授权不生效：

// 正确的中间件顺序
app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();
app.UseEndpoints(endpoints => { /* 端点配置 */ });

• 测试时确认请求头的User-Agent字段不包含你配置的HealthCheck/1.0，可以用curl命令直接验证：
  curl -v https://localhost:5001/health

内容的提问来源于stack exchange，提问作者Jimmy Isaac