ASP.NET Core 2.0无Identity Cookie认证未跳转至LoginPath问题

这种情况我之前从1.1迁2.0的时候也踩过坑，大概率是ASP.NET Core 2.0对Cookie认证的逻辑做了不少调整，尤其是中间件顺序和认证/授权的绑定关系这块出了问题，给你梳理几个最常见的排查方向：

1. 先检查中间件的顺序！ #

ASP.NET Core 2.0对中间件的执行顺序要求比1.1严格得多，UseAuthentication()必须放在UseMvc()之前，不然授权逻辑触发的时候，认证流程还没跑，系统会直接判定用户“未授权”而非“未登录”，自然就跳去AccessDeniedPath了。

正确的配置顺序应该是这样：

public void Configure(IApplicationBuilder app)
{
    app.UseStaticFiles();
    
    // 关键：必须在UseMvc之前调用UseAuthentication
    app.UseAuthentication();
    
    app.UseMvc(routes =>
    {
        routes.MapRoute(
            name: "default",
            template: "{controller=Home}/{action=Index}/{id?}");
    });
}

2. 确认Cookie认证是否设置为默认方案 #

2.0里引入了多认证方案的概念，如果你的AddAuthentication()没有指定默认的Cookie方案，或者[Authorize]属性没绑定对应的认证方式，授权逻辑会找不到正确的认证入口，同样会直接跳拒绝页面。

修改ConfigureServices里的配置，明确指定默认认证方案：

public void ConfigureServices(IServiceCollection services)
{
    // 把Cookie认证设为默认方案
    services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
        .AddCookie(options =>
        {
            options.LoginPath = "/Account/Login";
            options.AccessDeniedPath = "/Account/AccessDenied";
        });
    
    services.AddMvc();
}

如果是局部控制器/方法需要指定，也可以在[Authorize]上明确标注：

[Authorize(AuthenticationSchemes = CookieAuthenticationDefaults.AuthenticationScheme)]
public class AdminController : Controller
{
    // ...
}

3. 排查是否存在提前初始化的空ClaimsPrincipal #

有些时候，项目里的自定义中间件或者过滤器会提前给HttpContext.User设置一个空的ClaimsPrincipal，这会让系统误以为用户已经“登录”了，但这个空身份没有任何权限，所以直接跳AccessDeniedPath。

你可以在UseAuthentication()之前加一个调试中间件，检查用户身份状态：

app.Use(async (context, next) =>
{
    // 打印当前用户是否被标记为已认证
    Console.WriteLine($"User authenticated before auth middleware: {context.User.Identity.IsAuthenticated}");
    await next();
});

如果输出是true，那肯定是有代码提前篡改了用户身份，找到对应的地方删掉就行。

4. 检查自定义授权策略的逻辑 #

如果项目用了自定义授权策略，比如要求特定角色或Claim，要确保策略里先判断用户是否已认证。如果策略直接跳过“未认证”的判断，会把未登录用户直接判定为“无权限”，而非“需要登录”。

正确的策略配置应该先要求用户已认证：

services.AddAuthorization(options =>
{
    options.AddPolicy("RequireAdmin", policy =>
    {
        // 先确保用户已登录
        policy.RequireAuthenticatedUser();
        // 再检查角色
        policy.RequireRole("Admin");
    });
});

先按这几个方向排查，尤其是中间件顺序和默认认证方案，这两个是迁移后最容易踩的坑。

内容的提问来源于stack exchange，提问作者Todge