如何在无模型的Razor页面中应用IPageFilter（如Authorize属性）？

好问题！直接给你结论：无模型的Razor页面无法直接在@functions块中添加[Authorize]这类实现IPageFilter的属性，原因得从Razor Pages的过滤器机制说起：

为什么有模型的页面可以用？ #

你贴的带TestModel的示例能正常工作，是因为[Authorize]这类过滤器属性是专门针对**PageModel子类**设计的。ASP.NET Core在处理Razor页面请求时，会扫描PageModel类上的标记属性，自动加载并执行对应的过滤器逻辑。

无模型页面的限制 #

你的无模型页面代码里，@functions块只是定义了OnGet方法，并没有继承PageModel——没有对应的模型类作为载体，ASP.NET Core无法识别并应用这些过滤器属性。

解决方案推荐 #

如果需要给这个无模型页面添加授权（或其他IPageFilter逻辑），有几种可行方案：

1. 改造成带PageModel的页面（最推荐）

这是最贴合Razor Pages设计模式的方式，把页面逻辑迁移到PageModel子类上，然后直接标记属性：

@page 
@model TestModel

@functions {
    [Authorize]
    public class TestModel : PageModel {
        public void OnGet() {
            // 你的页面逻辑
        }
    }
}

2. 使用全局/路由约定过滤器

如果不想修改页面结构，可以在项目启动配置中给指定页面添加过滤器：

• 全局过滤器：给所有Razor页面统一添加授权（需注意排除不需要的页面）

  // Program.cs 或 Startup.cs
  builder.Services.AddRazorPages(options =>
  {
      options.Filters.Add(new AuthorizeFilter());
  });
  

• 路由约定过滤器：只给目标无模型页面添加过滤器（替换/YourPage为你的页面路由）

  builder.Services.AddRazorPages(options =>
  {
      options.Conventions
          .AddPageRoute("/YourPage", "")
          .AddFilter(new AuthorizeFilter());
  });
  

3. 手动在OnGet方法中检查授权

如果以上两种都不适用，可以在页面方法内手动完成授权校验：

@page 
@inject IAuthorizationService AuthorizationService
@inject IHttpContextAccessor HttpContextAccessor

@functions{ 
    public async Task OnGet() { 
        // 这里可以替换为你的授权策略名称
        var authResult = await AuthorizationService.AuthorizeAsync(
            HttpContextAccessor.HttpContext.User, 
            "DefaultPolicy"
        );

        if (!authResult.Succeeded)
        {
            HttpContextAccessor.HttpContext.Response.StatusCode = StatusCodes.Status403Forbidden;
            return;
        }

        // 执行你的原有页面逻辑
    } 
}

内容的提问来源于stack exchange，提问作者eadam