C#后端API权限问题：返回Unauthorize但状态码为200 OK

嘿，作为刚接触C#和ASP.NET Core的开发者，遇到这种不符合REST规范的问题确实头疼，咱们一步步来拆解解决：

核心问题分析 #

正常情况下，未授权请求应该返回401 Unauthorized状态码，但你的接口返回了200 OK + 自定义错误JSON，这说明你的授权验证逻辑只处理了错误内容的输出，却没有正确设置HTTP响应状态码。

可能的原因及解决方案 #

1. 自定义授权逻辑未设置响应状态码 #

如果你的项目是通过BaseController或者自定义中间件做的授权校验，可能只返回了错误JSON，却没修改HttpContext.Response.StatusCode。

错误示例（可能出现在BaseController里）：

// 只返回错误内容，状态码默认保持200
return Json(new { code = 1, message = "Unauthorize" });

正确做法：
改用ASP.NET Core自带的Unauthorized()方法，它会自动设置401状态码，同时可以传入自定义错误对象：

return Unauthorized(new { code = 1, message = "Unauthorize" });

或者手动设置状态码再返回：

Response.StatusCode = (int)HttpStatusCode.Unauthorized;
return Json(new { code = 1, message = "Unauthorize" });

2. 未正确使用ASP.NET Core的[Authorize]特性 #

你在注释里标注了(Authorize)，但要确保对应的API方法上真的添加了[Authorize]特性。ASP.NET Core的授权系统会自动处理未授权请求，返回标准的401状态码。

示例修正后的代码：

[Route("v1/users")]
[Produces("application/json")]
public class UserController : BaseController {
    /// <summary>
    /// Get list of users (Authorize)
    /// </summary>
    [HttpGet]
    [Authorize] // 必须添加这个特性才能触发自带的授权校验
    public IActionResult GetUsers()
    {
        // 你的业务逻辑代码
        return Ok(usersList);
    }
}

3. BaseController的过滤器/拦截逻辑覆盖了状态码 #

检查BaseController中是否有OnActionExecuting、OnActionExecuted这类过滤器方法，或者全局注册的结果过滤器，看看是不是在处理响应时把状态码强制设置成了200。

比如这种错误逻辑：

public override void OnActionExecuted(ActionExecutedContext context)
{
    // 错误：不管什么情况都把状态码设为200
    context.HttpContext.Response.StatusCode = 200;
    base.OnActionExecuted(context);
}

4. 额外确认：Postman请求的授权信息是否正确 #

虽然这不是状态码异常的直接原因，但还是要确认你的Postman请求是否正确携带了Token（比如在Headers里加Authorization: Bearer {token}）。如果授权信息完全缺失，ASP.NET Core的[Authorize]会直接返回401，帮你避免状态码错误的问题。

内容的提问来源于stack exchange，提问作者sajaNgaKavaja