ASP.NET Core自定义Bearer令牌授权实现是否合规？

从你给出的代码片段来看，这个自定义授权机制的整体方向是没问题的，但有一些细节需要补全和优化才能成为一个健壮的实现，咱们拆解来看：

现有实现的优点 #

• 用TypeFilterAttribute包装过滤器，完美支持依赖注入：AuthorizeActionFilter通过构造函数注入IValidateBearerToken的设计，比直接继承ActionFilterAttribute更灵活，完全贴合ASP.NET Core的DI生态，方便后续替换令牌验证的实现或者做单元测试。
• 遵循单一职责原则：把核心的令牌验证逻辑抽离到IValidateBearerToken接口中，过滤器只负责触发验证和处理请求流转，代码解耦性很好，维护起来更轻松。

需要补全/优化的关键细节 #

因为你贴的OnActionExecutionAsync方法没写完，我结合常规场景给你提几个必须注意的点：

• 必须处理[AllowAnonymous]特性：默认的ASP.NET Core授权系统会自动跳过标记了这个特性的动作/控制器，如果你的自定义过滤器没做这个判断，会导致加了[AllowAnonymous]的接口也被强制验证，这是非常常见的坑。
• 验证失败时要正确终止请求：如果令牌无效/不存在，一定要给context.Result赋值（比如new UnauthorizedResult()或者带提示信息的UnauthorizedObjectResult），否则请求会继续走到动作方法里，完全起不到拦截的作用。
• 标准化令牌提取逻辑：要从Authorization请求头的Bearer规范格式中提取令牌，得处理头不存在、格式不对（比如不是Bearer xxxxx）的情况，这部分逻辑可以封装到IValidateBearerToken或者单独的工具类里，避免过滤器代码太臃肿。
• 集成ASP.NET Core身份系统：令牌验证通过后，要把用户的身份信息（比如用户ID、角色等Claims）设置到context.HttpContext.User中，这样后续的业务代码、其他过滤器才能正常获取用户身份，这是框架的标准用法。
• 异常处理要到位：令牌验证过程中可能抛出各种异常（比如令牌过期、签名无效），要在过滤器里捕获这些异常，转换成友好的HTTP响应（比如401），别直接返回500错误给客户端。

补全后的示例代码参考 #

给你补一段OnActionExecutionAsync的完整实现参考：

public async Task OnActionExecutionAsync(ActionExecutingContext context, ActionExecutionDelegate next)
{
    // 检查是否允许匿名访问，有则跳过授权
    var hasAllowAnonymous = context.ActionDescriptor.EndpointMetadata
        .OfType<AllowAnonymousAttribute>()
        .Any();
    if (hasAllowAnonymous)
    {
        await next();
        return;
    }

    // 从请求头提取Bearer令牌
    var authHeader = context.HttpContext.Request.Headers.Authorization.FirstOrDefault();
    if (string.IsNullOrWhiteSpace(authHeader) || !authHeader.StartsWith("Bearer ", StringComparison.OrdinalIgnoreCase))
    {
        context.Result = new UnauthorizedObjectResult(new { Message = "Authorization header missing or invalid format" });
        return;
    }

    var token = authHeader.Substring("Bearer ".Length).Trim();
    var validationResult = await _authToken.ValidateTokenAsync(token);

    if (!validationResult.IsValid)
    {
        context.Result = new UnauthorizedObjectResult(new { Message = validationResult.ErrorMessage ?? "Invalid or expired token" });
        return;
    }

    // 设置当前用户的Claims身份
    var claims = new List<Claim>
    {
        new Claim(ClaimTypes.NameIdentifier, validationResult.UserId),
        new Claim(ClaimTypes.Name, validationResult.UserName),
        // 根据业务需求添加角色、权限等Claims
    };
    var identity = new ClaimsIdentity(claims, "CustomBearer");
    context.HttpContext.User = new ClaimsPrincipal(identity);

    // 继续执行后续的动作方法
    await next();
}

额外建议 #

如果你的场景是常规的Bearer令牌验证，也可以考虑基于ASP.NET Core自带的AuthenticationHandler<TOptions>来实现自定义认证方案，这样能更好地集成到框架的认证/授权系统中，比如支持[Authorize(Roles = "Admin")]这类细粒度的授权特性，灵活性更强。

内容的提问来源于stack exchange，提问作者Anton Swanevelder