如何让已认证用户访问[AllowAnonymous]接口时强制调用ValidatePrincipal

问题原因 #

ASP.NET Core 的设计逻辑里，OnValidatePrincipal 属于授权流程的校验环节，只有访问标记 [Authorize] 的资源时，授权中间件才会主动触发认证方案的完整校验逻辑。标记 [AllowAnonymous] 的接口会跳过授权流程，仅由认证中间件解析Cookie生成未校验的 ClaimsPrincipal 赋值给 HttpContext.User，因此不会触发 OnValidatePrincipal。

可行解决方案 #

方案1：全局强制校验（所有接口生效） #

在认证中间件之后、授权中间件之前插入自定义中间件，只要检测到当前请求用户已认证，就手动触发Cookie认证的完整校验逻辑，确保拿到的声明都是最新的：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 省略其他前置中间件（异常处理、静态文件、路由等）
    app.UseAuthentication();

    // 插入Cookie强制校验中间件
    app.Use(async (context, next) =>
    {
        if (context.User.Identity.IsAuthenticated)
        {
            // 手动触发Cookie认证的完整校验，会自动执行OnValidatePrincipal事件
            var authResult = await context.AuthenticateAsync(CookieAuthenticationDefaults.AuthenticationScheme);
            context.User = authResult.Succeeded ? authResult.Principal : new ClaimsPrincipal();
        }
        await next();
    });

    app.UseAuthorization();
    // 省略端点配置等后续逻辑
}

方案2：指定Action单独校验（不影响全局性能） #

如果只需要在少数允许匿名的Action里做身份校验，可以直接在Action内手动触发验证：

[AllowAnonymous]
public async Task<IActionResult> YourTargetAction()
{
    ClaimsPrincipal validatedUser = null;
    if (User.Identity.IsAuthenticated)
    {
        var authResult = await HttpContext.AuthenticateAsync(CookieAuthenticationDefaults.AuthenticationScheme);
        if (authResult.Succeeded)
        {
            validatedUser = authResult.Principal;
            // 用validatedUser执行后续数据库更新等逻辑
        }
    }
    // 省略访客场景下的逻辑
}

补充说明 #

框架默认不在匿名接口触发校验是出于性能考虑：绝大多数匿名接口不需要验证用户身份有效性，跳过校验可以减少不必要的开销，并非逻辑设计缺陷。

内容的提问来源于stack exchange，提问作者Gilles jr Bisson