.Net Core 2.1：AllowAnonymous控制器方法中AuthorizationHandler<T>未触发

嘿，这个问题我之前做.NET Core项目时也踩过坑！当你给控制器方法加上[AllowAnonymous]后，ASP.NET Core的授权管道会直接跳过所有授权检查逻辑，包括你自定义的AuthorizationHandler<T>——这是框架的默认设计，毕竟[AllowAnonymous]的初衷就是完全绕开授权体系。不过咱们有两种办法能满足「既要允许匿名访问、又要触发自定义授权逻辑」的需求：

方法一：移除[AllowAnonymous]，改用自定义授权策略 #

这种方法最贴合框架设计思路，把权限判断完全交给授权管道处理：

1. 定义自定义授权需求：

public class PersonalProfileRequirement : IAuthorizationRequirement { }

2. 实现对应的授权处理器，无论用户是否认证都会进入逻辑：

public class PersonalProfileHandler : AuthorizationHandler<PersonalProfileRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, PersonalProfileRequirement requirement)
    {
        var httpContext = context.Resource as HttpContext;
        if (httpContext?.Request.RouteValues.TryGetValue("id", out var idObj) != true)
        {
            context.Fail();
            return Task.CompletedTask;
        }

        if (!int.TryParse(idObj.ToString(), out var id))
        {
            context.Fail();
            return Task.CompletedTask;
        }

        if (context.User.Identity.IsAuthenticated)
        {
            // 处理认证用户逻辑：比如id为0时取当前用户资料，或验证是否有权限查看目标用户
            context.Succeed(requirement);
        }
        else
        {
            // 匿名用户逻辑：比如只允许查看指定id的公开资料，禁止id为0的请求（匿名用户无自身资料）
            if (id != 0)
            {
                context.Succeed(requirement);
            }
            else
            {
                context.Fail();
            }
        }

        return Task.CompletedTask;
    }
}

3. 在Startup.cs中注册授权策略和处理器：

public void ConfigureServices(IServiceCollection services)
{
    // 其他服务注册...

    services.AddAuthorization(options =>
    {
        options.AddPolicy("PersonalProfilePolicy", policy =>
            policy.Requirements.Add(new PersonalProfileRequirement()));
    });
    services.AddScoped<IAuthorizationHandler, PersonalProfileHandler>();
}

4. 修改控制器方法，替换[AllowAnonymous]为自定义策略：

/// <summary>
/// 获取个人资料。
/// </summary>
/// <param name="id">用户ID。传入0表示获取请求发起者的资料</param>
/// <returns></returns>
[HttpGet("personal-profile/{id}")]
[Authorize(Policy = "PersonalProfilePolicy")]
public async Task<IActionResult> GetPersonalProfile(int id)
{
    // 你的业务逻辑代码
}

方法二：保留[AllowAnonymous]，手动触发授权检查 #

如果不想改动太多现有代码，也可以在控制器方法里手动调用授权服务，强制触发AuthorizationHandler<T>：

1. 确保自定义需求和处理器已注册（和方法一的步骤1、3一致）

2. 在控制器中注入IAuthorizationService，手动调用授权：

private readonly IAuthorizationService _authorizationService;

public YourController(IAuthorizationService authorizationService)
{
    _authorizationService = authorizationService;
}

/// <summary>
/// 获取个人资料。
/// </summary>
/// <param name="id">用户ID。传入0表示获取请求发起者的资料</param>
/// <returns></returns>
[HttpGet("personal-profile/{id}")]
[AllowAnonymous]
public async Task<IActionResult> GetPersonalProfile(int id)
{
    // 手动触发授权检查
    var requirement = new PersonalProfileRequirement();
    var authResult = await _authorizationService.AuthorizeAsync(User, null, requirement);

    if (!authResult.Succeeded)
    {
        return Forbid(); // 可根据需求返回403、401等状态码
    }

    // 你的业务逻辑代码
}

为什么[AllowAnonymous]会跳过授权处理器？ #

简单来说，ASP.NET Core的授权中间件执行时，会先检查当前请求是否带有[AllowAnonymous]属性，若存在则直接跳过整个授权流程——包括所有AuthorizationHandler<T>的执行，这是框架为性能和逻辑简洁性做的设计，所以必须通过上述两种方式绕开限制。

内容的提问来源于stack exchange，提问作者Redplane