如何阻止ASP.NET MVC5中ActionFilter返回401时自动重定向？

这个问题的核心原因是ASP.NET MVC的身份验证模块会自动拦截401状态码的响应，强制将其重定向到登录页面——哪怕你已经关闭了自定义错误配置，这个内置的重定向逻辑依然会生效，最终导致ReturnUrl不断累加，触发查询字符串过长的错误。

下面是几种可行的修复方案：

方案1：替换状态码为403 Forbidden #

既然401会被身份验证模块拦截，我们可以换用403状态码来表示客户端证书缺失的未授权情况，因为403不会触发默认的登录重定向：

if (cert == null) {
    actionContext.Result = new HttpStatusCodeResult(HttpStatusCode.Forbidden, "Client Certificate Required");
    return;
}

这个方案最简单，不需要改动其他配置，适合快速解决问题。

方案2：手动恢复被拦截的401响应 #

如果你必须返回401状态码，可以在Global.asax.cs中重写Application_EndRequest方法，把被身份验证模块篡改的302重定向恢复成原本的401响应：

protected void Application_EndRequest()
{
    var context = new HttpContextWrapper(Context);
    // 检查是否是我们的过滤器触发的401被拦截
    if (context.Response.StatusCode == 302 
        && context.Items["OriginalStatusCode"] is int originalStatus 
        && originalStatus == (int)HttpStatusCode.Unauthorized)
    {
        context.Response.Clear();
        context.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
        context.Response.StatusDescription = "Client Certificate Required";
        context.Response.Write("Client Certificate Required"); // 可选：添加响应提示内容
    }
}

同时，在你的ClientCertificateActionFilter中，设置401时把状态码存入HttpContext.Items，标记这是我们主动返回的401：

if (cert == null) {
    actionContext.HttpContext.Items["OriginalStatusCode"] = (int)HttpStatusCode.Unauthorized;
    actionContext.Result = new HttpStatusCodeResult(HttpStatusCode.Unauthorized, "Client Certificate Required");
    return;
}

方案3：全局禁用身份验证模块的401重定向 #

可以在web.config的<system.web>节点下添加以下配置，直接关闭FormsAuthentication的自动重定向行为：

<authentication mode="Forms">
    <forms loginUrl="~/Login" redirectMode="ResponseRedirect" requireSSL="true" />
</authentication>
<authorization>
    <allow users="*" />
</authorization>

注意：这个方案会全局禁用身份验证模块的401重定向逻辑，如果你的项目中还有其他依赖该重定向的身份验证场景，需要根据实际情况调整。

额外测试提示 #

• 测试前清空浏览器缓存，避免之前的重定向缓存干扰结果
• 如果是AJAX请求，建议在请求头中携带X-Requested-With: XMLHttpRequest，方便在Application_EndRequest中区分处理，避免AJAX请求被意外重定向

内容的提问来源于stack exchange，提问作者Ogglas