ASP.NET MVC4：表单认证下如何从Action返回401且不跳转登录页？

在维护这类老ASP.NET MVC4项目时，碰到表单认证自动跳转401到登录页的情况真的很头疼——明明就想直接返回401状态码给前端，却被框架的默认逻辑打断。不用动核心架构，这里有两个实用方案：

方案一：目标Action内直接处理（快速落地） #

核心思路就是用Response.SuppressFormsAuthenticationRedirect属性，告诉表单认证模块不要触发自动跳转逻辑。直接在你的Action里这么写：

public ActionResult RestrictedAction()
{
    // 这里替换成你的权限校验逻辑，比如判断用户是否具备访问权限
    if (!IsUserAuthorized())
    {
        // 关键配置：阻止表单认证的自动跳转行为
        Response.SuppressFormsAuthenticationRedirect = true;
        // 返回401未授权状态码
        return new HttpUnauthorizedResult();
    }

    // 授权通过后的正常业务逻辑
    return View();
}

这个属性是.NET 4.5及以上版本支持的，而MVC4通常搭配的就是.NET 4.5，完全能兼容。设置后响应会直接返回401，不会再跳转到登录页。

方案二：自定义ActionFilter，复用逻辑（更优雅） #

如果多个Action都需要这个功能，写个自定义过滤器就能避免重复代码：

public class Prevent401RedirectAttribute : ActionFilterAttribute
{
    public override void OnActionExecuted(ActionExecutedContext filterContext)
    {
        base.OnActionExecuted(filterContext);
        
        // 检查当前Action是否返回了401结果
        if (filterContext.Result is HttpUnauthorizedResult)
        {
            // 阻止登录页跳转
            filterContext.HttpContext.Response.SuppressFormsAuthenticationRedirect = true;
        }
    }
}

之后在需要的Action上标记这个特性即可：

[Prevent401Redirect]
public ActionResult AnotherRestrictedAction()
{
    if (!IsUserAuthorized())
    {
        return new HttpUnauthorizedResult();
    }
    return View();
}

要是想让所有返回401的Action都自动禁用跳转，可以在Global.asax里全局注册这个过滤器：

protected void Application_Start()
{
    // ...其他初始化代码
    GlobalFilters.Filters.Add(new Prevent401RedirectAttribute());
}

兼容.NET 4.0的备选方案（针对超老项目） #

如果你的项目还在运行.NET 4.0（虽然MVC4推荐用4.5，但难免有遗留项目），SuppressFormsAuthenticationRedirect属性不存在，这时候可以直接设置状态码并终止响应：

public ActionResult LegacyRestrictedAction()
{
    if (!IsUserAuthorized())
    {
        Response.StatusCode = 401;
        Response.End();
        return null;
    }
    return View();
}

不过要注意，Response.End()会直接终止整个请求管道，后续的过滤器或生命周期事件不会执行，所以优先用前面的方案。

内容的提问来源于stack exchange，提问作者sarahlisa