ASP.NET MVC同用户Action并行请求问题：Windows Auth异常跳转登录页

看起来你踩了一个自定义Action级Session特性和Windows身份验证结合的坑，我来帮你拆解问题并给出解决方案：

问题核心分析 #

首先得明确：ASP.NET MVC原生并没有ActionSessionStateAttribute，你应该是自定义了这个特性来实现Action级的Session状态控制。而现在跳登录页的问题，大概率是这个自定义特性和Windows身份验证的流程发生了冲突——要么是特性修改了请求的身份上下文，要么是配置层面的身份验证规则没匹配好。

分步解决方案 #

1. 检查自定义ActionSessionStateAttribute的实现

你的自定义特性应该只负责修改Session的行为，绝对不能触碰用户身份相关的信息。正确的实现应该是这样的：

public class ActionSessionStateAttribute : ActionFilterAttribute
{
    public SessionStateBehavior SessionBehavior { get; set; }

    public ActionSessionStateAttribute(SessionStateBehavior behavior)
    {
        SessionBehavior = behavior;
    }

    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        // 只修改Session行为，别动身份信息！
        filterContext.HttpContext.SetSessionStateBehavior(SessionBehavior);
        base.OnActionExecuting(filterContext);
    }
}

如果你的特性里有修改filterContext.HttpContext.User或者清空身份标识的逻辑，那肯定会触发Windows身份验证的登录跳转，赶紧删掉这部分代码。

2. 确保[AllowAnonymous]与配置兼容

Windows身份验证默认在Web.config里是拒绝所有匿名用户的：

<system.web>
  <authentication mode="Windows" />
  <authorization>
    <deny users="?" /> <!-- 默认拒绝匿名 -->
  </authorization>
</system.web>

这时候[AllowAnonymous]能覆盖这个规则，但前提是：

• 这个特性确实正确标记在目标Action上
• 没有全局过滤器（比如自定义的AuthorizeAttribute）忽略了[AllowAnonymous]的存在

如果你的全局过滤器里加了AuthorizeAttribute，要确保它是原生的（原生会自动识别[AllowAnonymous]），如果是自定义的授权过滤器，得自己加上判断逻辑：

public class CustomAuthorizeAttribute : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        // 先检查是否有AllowAnonymous标记
        var actionDescriptor = httpContext.Request.RequestContext.RouteData.Values["action"] as ActionDescriptor;
        if (actionDescriptor != null && actionDescriptor.IsDefined(typeof(AllowAnonymousAttribute), inherit: true))
        {
            return true;
        }
        // 再执行你的授权逻辑
        return base.AuthorizeCore(httpContext);
    }
}

3. 正确设置Session行为以支持并行请求

要实现同一用户对这个Action的并行请求，你需要把Session行为设置为ReadOnly或者Disabled：

• ReadOnly：允许多个请求同时读取Session，不会加独占锁，适合需要读Session的场景
• Disabled：完全禁用该Action的Session，并行执行最彻底

给你的Action标记正确的特性组合：

[ActionSessionState(SessionStateBehavior.ReadOnly)]
[AllowAnonymous]
public ActionResult ParallelProcess()
{
    // 你的业务逻辑
    return Json(new { success = true }, JsonRequestBehavior.AllowGet);
}

4. IIS层面的身份验证设置

如果你的应用部署在IIS上，还要检查站点的身份验证配置：

• 必须同时启用Windows身份验证和匿名身份验证
• 如果只开Windows身份验证，IIS会在进入MVC管道前就要求用户登录，根本不会触发[AllowAnonymous]的逻辑

最后排查点 #

如果还是跳登录页，打开F12看一下请求的响应状态码：

• 401：说明身份验证没通过，检查IIS配置和自定义过滤器
• 302跳转登录：说明MVC的授权逻辑拒绝了匿名访问，检查[AllowAnonymous]是否生效

内容的提问来源于stack exchange，提问作者Renan Araújo