.NET Core API添加[Authorize]后返回405方法不允许问题

看起来你遇到的问题很典型——给API控制器加上[Authorize]特性就返回405错误，去掉就正常，而且你的应用本身就是发放Bearer令牌的IdentityServer服务端，这大概率和中间件注册顺序或者MVC默认的防伪造令牌验证有关，下面给你一步步排查和解决的方法：

1. 检查中间件的注册顺序 #

Asp.NET Core的中间件顺序直接影响功能逻辑，尤其是身份验证和授权相关的。请确保Startup.cs里的中间件注册顺序是这样的：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 先处理异常、静态文件等基础中间件
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    app.UseStaticFiles();

    // 优先添加IdentityServer中间件
    app.UseIdentityServer();

    // 然后是身份验证，再是授权
    app.UseAuthentication();
    app.UseAuthorization();

    // 最后配置路由和控制器
    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllerRoute(
            name: "default",
            pattern: "{controller=Home}/{action=Index}/{id?}");
        // 确保API路由被正确映射
        endpoints.MapControllers();
    });
}

如果UseAuthorization在UseAuthentication之前，或者IdentityServer中间件位置不对，就可能导致授权逻辑异常，返回错误的状态码。

2. 禁用API控制器的防伪造令牌验证 #

你的控制器继承自Controller（MVC控制器基类），而MVC默认会对POST请求启用防伪造令牌验证。当你添加[Authorize]后，请求需要同时通过身份验证和防伪造验证，但Postman调用时并没有携带防伪造令牌，这时候服务器会拒绝请求，有时候就会返回405而不是预期的400或401。

这里有两种解决方式：

方式一：改用ApiController基类 #

将控制器继承自ApiController，它是专门为API场景设计的，默认会禁用防伪造令牌验证（因为API通常用Bearer令牌而非Cookie+防伪造令牌的组合）：

[Authorize]
[Route("api/v1/auth")]
public class ApiAuthController : ApiController // 修改基类为ApiController
{
    [HttpPost("changePassword")]
    public async Task<IActionResult> ChangePassword([FromBody] ChangePasswordModel model)
    {
        // 你的业务逻辑
        return Ok("密码修改成功");
    }
}

方式二：添加[IgnoreAntiforgeryToken]特性 #

如果不想修改基类，可以直接在控制器或特定Action上添加该特性，跳过防伪造验证：

[Authorize]
[Route("api/v1/auth")]
[IgnoreAntiforgeryToken] // 全局跳过当前控制器的防伪造验证
public class ApiAuthController : Controller
{
    [HttpPost("changePassword")]
    // 也可以只给这个Action加[IgnoreAntiforgeryToken]
    public async Task<IActionResult> ChangePassword([FromBody] ChangePasswordModel model)
    {
        // 你的业务逻辑
        return Ok("密码修改成功");
    }
}

3. 确保JWT Bearer验证配置正确 #

虽然你的应用是IdentityServer服务端，但作为API资源，你需要配置JWT Bearer验证，让服务器能正确识别Postman传入的Bearer令牌。在Startup.cs的ConfigureServices方法里，应该补充类似这样的配置：

services.AddAuthentication()
    .AddJwtBearer(options =>
    {
        // 如果是本地IdentityServer，填写对应的地址
        options.Authority = "https://localhost:5001";
        // 这里要和你在IdentityServer中配置的API资源名称一致
        options.Audience = "your-api-resource-name";
        // 保存令牌以便后续使用
        options.SaveToken = true;
    });

如果缺少这部分配置，即使传入了Bearer令牌，服务器也无法完成验证，进而导致授权失败并返回错误状态码。

4. 确认请求路由和格式匹配 #

最后再检查一下Postman的请求是否正确：

• 请求方法是POST，URL是api/v1/auth/changePassword
• 请求头的Content-Type设置为application/json（因为你用了[FromBody]绑定模型）
• Bearer令牌正确添加到Authorization请求头中

总结 #

最可能的根源是MVC防伪造令牌验证拦截了无令牌的POST请求，或者中间件顺序错误。先尝试将控制器改为ApiController，或者添加[IgnoreAntiforgeryToken]特性，同时检查中间件顺序，应该就能解决问题了。

内容的提问来源于stack exchange，提问作者Benjamin