MVC 5 IIS未授权用户自定义页面显示问题咨询

看起来你在给ASP.NET应用配置自定义401未授权提示，同时还设置了angular和test路由，大概率是遇到了提示不生效或者路由冲突的问题吧？我先把你的代码整理出来，再逐一分析解决：

你的现有代码片段 #

Global.asax中的401处理逻辑 #

protected void Application_EndRequest(object sender, EventArgs e) 
{ 
    HttpContext context = HttpContext.Current; 
    Server.ClearError(); 
    Response.Clear(); 
    if (context.Response.StatusCode == 401) 
    { 
        context.Response.Write("You are not authorized."); 
    } 
}

RouteConfig.cs中的路由配置 #

public static void RegisterRoutes(RouteCollection routes) 
{ 
    routes.IgnoreRoute("{resource}.axd/{*pathInfo}");
    
    // angular路由（推测是SPA的catch-all路由）
    routes.MapRoute(
        name: "angular",
        url: "{*angularRoute}",
        defaults: new { controller = "Home", action = "Index" }
    );
    
    // test路由
    routes.MapRoute(
        name: "test",
        url: "test/{action}/{id}",
        defaults: new { controller = "Test", action = "Index", id = UrlParameter.Optional }
    );
}

潜在问题分析 #

1. 响应处理顺序错误：你先调用了Server.ClearError()和Response.Clear()，再判断状态码，这可能导致在非401场景下也清空了正常响应。而且没有显式保留401状态码，容易被后续的路由逻辑覆盖成200。
2. 路由顺序问题：如果angular路由是catch-all（{*angularRoute}），它会匹配所有请求，包括test路由的请求，导致test路由永远不会被命中。
3. SPA路由拦截API请求：如果你的401是来自API接口的未授权，catch-all路由会把请求重定向到Home/Index，导致状态码被重置，你的自定义提示根本不会触发。

针对性解决方案 #

1. 修正Application_EndRequest的逻辑 #

调整代码顺序，只在401场景下清理响应，同时保留状态码并结束响应，防止后续逻辑干扰：

protected void Application_EndRequest(object sender, EventArgs e) 
{ 
    var context = HttpContext.Current;
    
    // 先判断是否是401状态，再执行清理操作
    if (context.Response.StatusCode == 401)
    {
        context.Server.ClearError();
        context.Response.Clear();
        // 设置正确的内容类型，纯文本或JSON都可以
        context.Response.ContentType = "text/plain";
        // 必须显式保留401状态码，前端才能正确识别
        context.Response.StatusCode = 401;
        context.Response.Write("You are not authorized.");
        // 结束响应，避免后续路由或模块修改内容
        context.Response.End();
    }
}

2. 调整路由顺序与约束 #

把具体路由（比如test）放在catch-all路由之前，同时给angular路由添加约束，排除API类请求，避免拦截需要授权的接口：

public static void RegisterRoutes(RouteCollection routes) 
{ 
    routes.IgnoreRoute("{resource}.axd/{*pathInfo}");
    
    // 先注册具体路由，确保能被优先匹配
    routes.MapRoute(
        name: "test",
        url: "test/{action}/{id}",
        defaults: new { controller = "Test", action = "Index", id = UrlParameter.Optional }
    );
    
    // 再注册catch-all路由，添加约束排除api开头的路径
    routes.MapRoute(
        name: "angular",
        url: "{*angularRoute}",
        defaults: new { controller = "Home", action = "Index" },
        constraints: new { angularRoute = @"^(?!api).*$" } // 正则匹配非api开头的路径
    );
}

3. 针对API请求返回JSON格式提示 #

如果是API接口的未授权，返回JSON格式更适合前端处理，你可以借助Newtonsoft.Json来序列化：

protected void Application_EndRequest(object sender, EventArgs e) 
{ 
    var context = HttpContext.Current;
    if (context.Response.StatusCode == 401)
    {
        context.Server.ClearError();
        context.Response.Clear();
        context.Response.ContentType = "application/json";
        context.Response.StatusCode = 401;
        
        var errorMsg = new { Message = "You are not authorized.", StatusCode = 401 };
        context.Response.Write(Newtonsoft.Json.JsonConvert.SerializeObject(errorMsg));
        context.Response.End();
    }
}

关键提醒 #

• 路由匹配是从上到下的，所以具体路由一定要放在模糊路由（catch-all）前面。
• 永远不要把401状态码改成200，前端需要通过状态码来判断是否需要跳转到登录页或者显示授权提示。
• 使用Response.End()可以强制终止响应流程，避免后续的中间件或路由逻辑覆盖你的自定义内容。

内容的提问来源于stack exchange，提问作者user9617046