如何在OWIN管道中允许MVC5应用首页匿名身份验证？

既然你已经在IIS里配置了无身份验证，并且打算用OWIN管道管理认证，咱们可以按以下步骤来实现首页返回401未授权状态码：

1. 确保OWIN身份验证中间件正确配置 #

首先，你的Startup.cs里需要配置好OWIN的身份验证中间件（比如Cookie认证，这是MVC5常用的方案），示例代码如下：

using Microsoft.Owin;
using Owin;
using Microsoft.AspNet.Identity;
using Microsoft.Owin.Security.Cookies;

[assembly: OwinStartup(typeof(YourAppNamespace.Startup))]
namespace YourAppNamespace
{
    public class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            // 配置Cookie身份验证，让OWIN接管认证流程
            app.UseCookieAuthentication(new CookieAuthenticationOptions
            {
                AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
                LoginPath = new PathString("/Account/Login") // 默认跳转的登录页路径，后续可按需调整
            });
        }
    }
}

2. 给首页（Index）Action添加授权限制 #

有两种灵活的方式可以让首页返回401：

方式一：用[Authorize]特性+自定义跳转逻辑 #

直接在HomeController的Index方法上标记[Authorize]特性，默认情况下未认证用户会跳转到登录页，但如果想直接返回401而非跳转，需要修改Cookie认证的Provider配置：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/Account/Login"),
    Provider = new CookieAuthenticationProvider
    {
        OnApplyRedirect = context =>
        {
            // 判断当前请求是否是首页，是的话直接返回401
            if (context.Request.Path.Value == "/" || context.Request.Path.Value == "/Home/Index")
            {
                context.Response.StatusCode = 401;
                return;
            }
            // 其他未授权请求正常跳转登录页
            context.Response.Redirect(context.RedirectUri);
        }
    }
});

对应的HomeController代码：

public class HomeController : Controller
{
    [Authorize]
    public ActionResult Index()
    {
        return View();
    }
}

方式二：手动在Action内检查认证状态 #

如果你不想依赖[Authorize]特性，也可以在Index方法里直接判断用户认证状态，手动返回401：

public ActionResult Index()
{
    if (!User.Identity.IsAuthenticated)
    {
        // 返回标准的401未授权响应
        return new HttpUnauthorizedResult();
        // 或者更直观地设置状态码并返回提示内容：
        // Response.StatusCode = 401;
        // return Content("未授权访问", "text/plain");
    }
    return View();
}

3. 确保Web.config配置无冲突 #

你已经设置了<authentication mode="None" />，还要在system.webServer节点下移除Forms认证模块，避免和OWIN的认证流程冲突：

<system.webServer>
    <modules>
        <remove name="FormsAuthentication" />
    </modules>
</system.webServer>

测试验证 #

完成以上配置后，访问首页（/或/Home/Index），未登录的用户会直接收到401 Unauthorized状态码，符合你的需求。

内容的提问来源于stack exchange，提问作者Troopers