ASP.NET MVC5自定义AuthorizeAttribute未被正确调用致权限失控

嘿，我来帮你排查这个自定义授权属性不触发的问题！在ASP.NET MVC5里，继承AuthorizeAttribute重写AuthorizeCore是常规操作，但没被调用通常是几个常见的坑，咱们一步步来捋：

首先得确保你的自定义属性没写错基类，并且替换了原来的内置属性：

• 检查类的继承：必须是public class CustomAuthorizeAttribute : AuthorizeAttribute（注意是System.Web.Mvc命名空间下的AuthorizeAttribute，别和Web API的搞混！）
• 替换原有标记：把控制器/方法上的[Authorize("Administrator")]改成[CustomAuthorize(Roles = "Administrator")]（如果你的自定义属性保留了Roles属性），或者按照你新的权限配置方式传入参数
• 全局过滤器冲突：去FilterConfig.cs里看看，如果有filters.Add(new AuthorizeAttribute());这种全局注册，要么换成你的自定义属性，要么确认局部控制器/方法上的自定义属性优先级（MVC里局部过滤器优先级高于全局，所以只要局部用了自定义的，应该优先生效，但还是要排查）

这个是最容易踩的坑：AuthorizeCore的签名必须完全匹配基类，否则MVC不会调用你的重写方法！正确的签名应该是：

protected override bool AuthorizeCore(HttpContextBase httpContext)
{
    // 你的权限判断逻辑
    return base.AuthorizeCore(httpContext); // 先保留基类逻辑测试，再替换成自己的
}

别把参数写成HttpContext（这是System.Web里的类，不是MVC授权用的抽象类），也别写错返回值类型，否则重写不会生效。

你提到了“视图及API”，这里要注意：

• MVC控制器用的是System.Web.Mvc.AuthorizeAttribute，重写AuthorizeCore
• Web API控制器用的是System.Web.Http.AuthorizeAttribute，重写的是IsAuthorized(HttpActionContext actionContext)方法
  如果你的API控制器误用了MVC的自定义属性，那API的授权逻辑肯定不会触发！一定要核对命名空间。

因为你用的是Windows身份认证，确保web.config里的配置没被改动：

<authentication mode="Windows" />
<authorization>
  <deny users="?" /> <!-- 拒绝匿名用户，确保身份能被正确识别 -->
</authorization>

如果authentication mode被改成了Forms，或者authorization节点允许匿名，那身份认证本身就有问题，自定义授权自然不会正常触发。

• 有没有在同一个控制器/方法上加了[AllowAnonymous]？这个属性会跳过所有AuthorizeAttribute（包括自定义的），一定要移除
• 有没有其他全局ActionFilter在授权之前就处理了请求？可以暂时注释掉其他过滤器，测试自定义授权是否能触发

在AuthorizeCore方法里加个断点，或者写一行日志（比如Debug.WriteLine("Custom AuthorizeCore called!")），确认方法是否真的没被调用：

• 如果断点没命中：说明属性没被正确应用，回到前面的步骤排查
• 如果断点命中了：那就是你的权限判断逻辑有问题，导致看起来权限不受控，可以先写个简单的测试逻辑（比如直接返回false），看看是否会跳转到未授权页面，验证逻辑是否生效

举个简单的可测试自定义属性示例：

using System.Web;
using System.Web.Mvc;

public class CustomAuthorizeAttribute : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        // 先写个简单测试：只允许Administrator角色
        var user = httpContext.User;
        return user.Identity.IsAuthenticated && user.IsInRole("Administrator");
    }

    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        // 处理未授权情况，比如返回403
        filterContext.Result = new HttpStatusCodeResult(System.Net.HttpStatusCode.Forbidden);
    }
}

内容的提问来源于stack exchange，提问作者Muqq