自定义AuthorizeAttribute返回Unauthorized时OnAuthorization被调用两次问题

我之前踩过一模一样的坑，这俩问题其实是连锁反应，咱们一步步拆解解决：

问题根源分析 #

1. OnAuthorization重复调用：ASP.NET Web API默认在返回401时，身份验证中间件会自动发起「认证挑战」（比如Cookie认证中间件会重新触发认证流程），这就导致你的自定义AuthorizeAttribute被二次调用。核心是要告诉框架：这个未授权请求已经处理完毕，别再触发后续逻辑了。
2. 前端弹出登录框：这是浏览器的默认行为——只要收到带WWW-Authenticate响应头的401，浏览器就会弹出内置登录对话框，和你的前端代码无关，咱们要做的就是去掉这个响应头。

具体解决方案代码 #

修改你的自定义AuthorizeAttribute的HandleUnauthorizedRequest方法，手动构建响应、标记请求已处理，同时移除触发浏览器弹窗的响应头：

protected override void HandleUnauthorizedRequest(HttpActionContext filterContext)
{
    // 1. 构建自定义401响应，避免触发默认认证挑战
    var response = new HttpResponseMessage(HttpStatusCode.Unauthorized)
    {
        Content = new StringContent("认证失败，请重新登录") // 可选：返回自定义提示文本
    };

    // 2. 移除WWW-Authenticate头，彻底阻止浏览器弹出登录框
    response.Headers.Remove("WWW-Authenticate");

    // 3. 设置Result标记请求已处理，避免重复触发OnAuthorization
    filterContext.Result = new HttpResponseMessageResult(response);
}

// 自定义IHttpActionResult实现类，用于返回指定响应
public class HttpResponseMessageResult : IHttpActionResult
{
    private readonly HttpResponseMessage _response;

    public HttpResponseMessageResult(HttpResponseMessage response)
    {
        _response = response;
    }

    public Task<HttpResponseMessage> ExecuteAsync(CancellationToken cancellationToken)
    {
        return Task.FromResult(_response);
    }
}

另外，检查你的OnAuthorization方法，确保直接从Cookie读取Token，不要触发默认的授权头逻辑，避免触发中间件的额外行为：

public override void OnAuthorization(HttpActionContext filterContext)
{
    // 直接从Cookie取Token，跳过默认授权头逻辑
    var tokenCookie = filterContext.Request.Headers.GetCookies("AuthorizationToken").FirstOrDefault();
    if (tokenCookie == null || string.IsNullOrEmpty(tokenCookie["AuthorizationToken"].Value))
    {
        HandleUnauthorizedRequest(filterContext);
        return;
    }

    // 你的Token验证逻辑...
    if (!IsValidToken(tokenCookie["AuthorizationToken"].Value))
    {
        HandleUnauthorizedRequest(filterContext);
        return;
    }

    // 认证通过，继续执行后续逻辑
}

额外注意事项 #

如果项目中使用了CookieAuthenticationMiddleware，记得在配置里禁用自动挑战：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/Account/Login"),
    // 禁用自动挑战，避免框架主动触发登录跳转或重复认证
    AutomaticChallenge = false
});

内容的提问来源于stack exchange，提问作者DevEng