.NET Core 3.0中如何自定义[Authorize]属性的401响应内容？

我之前也踩过这个坑！你用中间件读不到正确401状态码的核心原因是时机不对——ASP.NET Core处理授权失败时，并不是直接在中间件阶段设置状态码，而是返回一个ChallengeResult（对应401）或ForbidResult（对应403），这个结果要等到MVC的结果执行阶段才会真正把状态码写到响应里。你之前的中间件在这个阶段之前就运行了，所以读到的还是初始的200状态码。

既然你已经在用基于IActionFilter的异常过滤器，那最贴合你现有架构的方案就是用**IAlwaysRunResultFilter——它属于MVC过滤器体系，和IActionFilter用法类似，而且会始终运行**（哪怕前面的管道短路了），刚好能捕获授权失败的结果。

具体实现步骤 #

1. 创建自定义授权结果过滤器

这个过滤器会在结果执行前拦截授权失败的ChallengeResult/ForbidResult，替换成带详细信息的JSON响应：

using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;
using System.Text.Json;

public class CustomAuthorizationResultFilter : IAlwaysRunResultFilter
{
    public void OnResultExecuting(ResultExecutingContext context)
    {
        // 处理未授权（401）场景
        if (context.Result is ChallengeResult)
        {
            context.HttpContext.Response.StatusCode = StatusCodes.Status401Unauthorized;
            var errorResponse = new 
            {
                StatusCode = 401,
                Message = "请求未授权，请提供有效的JWT令牌",
                Details = "令牌不存在、已过期或格式不符合要求"
            };
            var json = JsonSerializer.Serialize(errorResponse);
            context.HttpContext.Response.ContentType = "application/json";
            _ = context.HttpContext.Response.WriteAsync(json);
            
            // 替换为EmptyResult，避免默认的空响应被输出
            context.Result = new EmptyResult();
        }
        // 处理权限不足（403）场景
        else if (context.Result is ForbidResult)
        {
            context.HttpContext.Response.StatusCode = StatusCodes.Status403Forbidden;
            var errorResponse = new 
            {
                StatusCode = 403,
                Message = "您没有访问该资源的权限",
                Details = "令牌包含的权限不足以操作当前资源"
            };
            var json = JsonSerializer.Serialize(errorResponse);
            context.HttpContext.Response.ContentType = "application/json";
            _ = context.HttpContext.Response.WriteAsync(json);
            
            context.Result = new EmptyResult();
        }
    }

    public void OnResultExecuted(ResultExecutedContext context)
    {
        // 这里无需额外处理，除非需要做资源清理
    }
}

2. 注册过滤器

你可以选择全局注册（对所有API生效），或者局部注册（仅对特定接口生效）：

• 全局注册（在Program.cs中）：

builder.Services.AddControllers(options =>
{
    // 添加全局过滤器
    options.Filters.Add<CustomAuthorizationResultFilter>();
});

• 局部注册（仅对特定接口/控制器生效）：

[Authorize]
[ServiceFilter(typeof(CustomAuthorizationResultFilter))]
public IActionResult MyProtectedApi()
{
    // 接口逻辑
}

为什么这个方案适合你？ #

• 和你现有的IActionFilter异常过滤器属于同一体系，代码风格一致，维护成本低；
• IAlwaysRunResultFilter会绕过管道短路逻辑，确保授权失败的场景一定会被捕获；
• 直接操作MVC的结果对象，不需要依赖中间件的执行顺序，稳定性更高。

内容的提问来源于stack exchange，提问作者Tobias Moe Thorstensen