C# Web API控制器构造函数授权验证失败时如何终止执行并返回JSON？

嘿，我发现你现在在每个控制器的构造函数里做身份验证，这里其实有个小坑——构造函数的本职工作是初始化控制器对象，没法直接返回HTTP响应结果哦！就算验证失败，控制器还是会被实例化，后续的Action方法可能还是会执行，达不到你想要的拦截效果。

咱们换几个更合理的方案来实现你的需求，既能统一处理授权逻辑，又能优雅返回"授权无效"的JSON：

把授权验证逻辑抽成一个过滤器，这样所有需要验证的控制器/Action只要加个特性就能用，不用重复写代码。

首先创建这个过滤器类：

using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;

public class ApiTokenAuthFilter : ActionFilterAttribute
{
    private readonly string _validApiToken;

    public ApiTokenAuthFilter()
    {
        // 从配置读取合法的API Token，和你原来的逻辑一致
        _validApiToken = AppConfig.GetConfigValue("APIToken");
    }

    public override void OnActionExecuting(ActionExecutingContext context)
    {
        // 从请求头里拿Token（你也可以改成从QueryString或者Body里取，根据你的实际需求）
        var incomingToken = context.HttpContext.Request.Headers["Authorization"].FirstOrDefault()?.Replace("Bearer ", "");

        // 验证Token有效性
        if (string.IsNullOrWhiteSpace(incomingToken) || incomingToken != _validApiToken)
        {
            // 验证失败，直接返回指定的JSON响应
            context.Result = new JsonResult(new { message = "授权无效" })
            {
                StatusCode = StatusCodes.Status401Unauthorized
            };
            return;
        }

        // 验证通过，继续执行目标Action方法
        base.OnActionExecuting(context);
    }
}

然后在你的控制器上应用这个过滤器就行，构造函数现在只负责依赖注入，不用管验证了：

// 给整个UsersController的所有Action都加上授权验证
[ApiTokenAuthFilter]
public class UsersController : ControllerBase
{
    private readonly RM.Data.IUserData _userData;

    public UsersController(RM.Data.IUserData userData)
    {
        _userData = userData;
    }

    // 你的业务Action，比如获取用户列表
    [HttpGet]
    public IActionResult GetAllUsers()
    {
        var users = _userData.GetAll();
        return Ok(users);
    }
}

如果只是某个Action需要验证，也可以只在那个Action上加[ApiTokenAuthFilter]特性，灵活得很。

如果你的授权逻辑以后可能更复杂（比如要加角色、权限控制），用框架自带的授权策略会更规范：

1. 先在Program.cs（或者Startup.cs）里配置授权策略：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("ValidApiToken", policy =>
    {
        policy.RequireAssertion(context =>
        {
            var incomingToken = context.HttpContext.Request.Headers["Authorization"].FirstOrDefault()?.Replace("Bearer ", "");
            var validToken = AppConfig.GetConfigValue("APIToken");
            return !string.IsNullOrWhiteSpace(incomingToken) && incomingToken == validToken;
        });
    });
});

2. 然后在控制器/Action上用[Authorize]特性指定这个策略：

[Authorize(Policy = "ValidApiToken")]
public class UsersController : ControllerBase
{
    private readonly RM.Data.IUserData _userData;

    public UsersController(RM.Data.IUserData userData)
    {
        _userData = userData;
    }

    [HttpGet]
    public IActionResult GetAllUsers()
    {
        return Ok(_userData.GetAll());
    }
}

3. 要是想把默认的401响应改成你要的"授权无效"JSON，可以加个中间件来拦截处理：

app.Use(async (context, next) =>
{
    await next();

    if (context.Response.StatusCode == StatusCodes.Status401Unauthorized)
    {
        context.Response.ContentType = "application/json";
        await context.Response.WriteAsync("{\"message\":\"授权无效\"}");
    }
});

再啰嗦两句，帮你理清楚：

• 构造函数的职责就是初始化对象，把授权逻辑塞进去违反了单一职责原则，代码会越来越乱
• 构造函数里没法直接返回HTTP响应，就算你抛出异常，处理起来也不如直接返回指定响应优雅
• 每个控制器都要写一遍验证逻辑，代码冗余，后期改起来要改N个地方

内容的提问来源于stack exchange，提问作者Rlogical techsoft