.NET Core MVC如何全局应用Authorize特性实现全项目安全防护

完全没必要在每个控制器上重复加[Authorize]特性，.NET Core MVC提供了多种全局配置安全验证的方式，甚至能针对命名空间级别做精准控制，下面给你详细说几种实用方案：

1. 全局过滤器：一键给所有控制器加授权 #

这是最常用的全局配置方式，直接在应用启动时把AuthorizeFilter添加到全局过滤器集合里，所有控制器和Action默认都会要求授权验证。

在.NET 6+的Program.cs里这么写：

builder.Services.AddControllersWithViews(options =>
{
    // 全局添加授权过滤器
    options.Filters.Add(new AuthorizeFilter());
});

如果是用策略授权（比如自定义权限规则），还可以指定策略名称：

options.Filters.Add(new AuthorizeFilter("YourCustomPolicy"));

例外处理：如果某个Action或控制器不需要授权（比如登录、注册页），只需要给它加上[AllowAnonymous]特性就能豁免全局验证。

2. 命名空间级别配置：精准控制特定命名空间下的控制器 #

如果只想给某个特定命名空间下的控制器自动加授权，可以用**控制器约定（ControllerModelConvention）**来实现。

首先创建一个自定义约定类：

public class NamespaceAuthorizationConvention : IControllerModelConvention
{
    private readonly string _targetNamespace;

    public NamespaceAuthorizationConvention(string targetNamespace)
    {
        _targetNamespace = targetNamespace;
    }

    public void Apply(ControllerModel controller)
    {
        // 检查控制器的命名空间是否匹配目标
        if (controller.ControllerType.Namespace == _targetNamespace)
        {
            // 给匹配的控制器添加授权过滤器
            controller.Filters.Add(new AuthorizeFilter());
        }
    }
}

然后在Program.cs里注册这个约定：

builder.Services.AddControllersWithViews(options =>
{
    // 替换成你需要授权的命名空间，比如"YourApp.Controllers.Admin"
    options.Conventions.Add(new NamespaceAuthorizationConvention("YourApp.Controllers"));
});

这样一来，只有指定命名空间下的控制器会自动启用授权验证，其他命名空间的控制器不受影响，非常灵活。

额外提醒 #

• 全局配置后，[AllowAnonymous]是唯一能突破全局授权的方式，记得给公开访问的页面加上这个特性。
• 如果你的应用有不同的权限组，结合策略授权+全局过滤器/命名空间约定，能实现更细粒度的权限控制。

内容的提问来源于stack exchange，提问作者Anonymous Creator