MVC5中AllowAnonymous失效求助：全局注册过滤器时注解不生效

我明白你的困扰——两个复制出来的MVC5项目，本该完全一致，结果在全局授权过滤器的处理上出现了差异。一个能正常让AllowAnonymous跳过全局授权，另一个却必须给控制器加[Authorize]才能让特性生效。这种复制项目出现的细节差异，通常是某个配置、引用或缓存问题导致的，给你几个具体的排查方向：

1. 先确认特性的命名空间没搞错 #

这是最容易踩的坑：

• 检查ResetPassword方法上的[AllowAnonymous]，确保它来自System.Web.Mvc命名空间，而不是System.Web.Http（那是Web API的特性，对MVC控制器完全无效）。
• 全局注册的AuthorizeAttribute也要对应System.Web.Mvc.AuthorizeAttribute，别不小心用了Web API版本的。

2. 核对FilterConfig的注册时机和逻辑 #

两个项目的Global.asax里，Application_Start方法调用FilterConfig.RegisterGlobalFilters的时机是否一致？

• 确认复制后的项目里，FilterConfig.RegisterGlobalFilters(GlobalFilters.Filters);这行代码没有被注释，也没有被放在其他可能影响执行顺序的位置。
• 检查有没有其他代码在全局过滤器之后，又额外添加了授权过滤器，覆盖了原有逻辑。

3. 检查Web.config的授权配置 #

Web.config里的<authorization>节点会和MVC过滤器冲突：

• 对比两个项目的Web.config，看<system.web>下的<authorization>节点。如果复制后的项目里有<deny users="?"/>这类配置，它会优先于MVC过滤器生效，直接把未登录用户挡在外面，AllowAnonymous自然就失效了。
• MVC项目建议用过滤器控制授权，把Web.config里的授权配置留给传统WebForms页面。

4. 排查是否存在隐性的自定义逻辑 #

虽然你说没重写属性，但还是要确认：

• 复制后的项目里有没有不小心引入了自定义的AuthorizeAttribute或AllowAnonymousAttribute？比如项目里有没有同名类，覆盖了系统自带的特性？
• 检查AccountController的基类，两个项目的基类是否一致？基类可能带有额外的授权逻辑，影响了特性的生效。

5. 清理缓存并核对NuGet版本 #

复制项目容易残留编译缓存：

• 手动删除两个项目的bin和obj文件夹，然后重新生成解决方案。
• 检查NuGet包版本，确保两个项目的Microsoft.AspNet.Mvc包版本完全一致——版本差异可能导致特性的处理逻辑不同。

6. 调试过滤器的执行逻辑 #

如果以上都没问题，可以通过调试确认问题出在哪：

• 写一个自定义的AuthorizeAttribute，重写OnAuthorization方法，打个断点看看复制后的项目里，是否正确识别了AllowAnonymous特性：

public class DebugAuthorizeAttribute : System.Web.Mvc.AuthorizeAttribute
{
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        // 检查当前Action或Controller是否标记了AllowAnonymous
        var hasAllowAnonymous = filterContext.ActionDescriptor.IsDefined(typeof(System.Web.Mvc.AllowAnonymousAttribute), true)
                               || filterContext.ActionDescriptor.ControllerDescriptor.IsDefined(typeof(System.Web.Mvc.AllowAnonymousAttribute), true);
        
        if (hasAllowAnonymous)
        {
            return; // 如果有，直接跳过授权
        }
        base.OnAuthorization(filterContext);
    }
}

用这个自定义过滤器替换全局注册的那个，调试看看hasAllowAnonymous的判断是否正确，就能定位到是识别逻辑的问题，还是过滤器执行顺序的问题。

内容的提问来源于stack exchange，提问作者Philip Johnson