ASP.NET MVC中[Authorize]属性如何识别已认证用户？

嘿，这个问题问到点子上了！我来给你一步步拆解清楚：

核心结论：[Authorize]检查的是已验证的身份标识（Identity），而非直接检查Cookie或票证原始内容 #

1. 先理清身份验证的完整流程 #

当你调用FormsAuthentication.SetAuthCookie()时，它做了这些事：

• 创建一个包含用户信息、过期时间等的身份验证票证（Authentication Ticket）
• 对票证进行加密签名（防止篡改）
• 根据配置，把加密后的票证存入Cookie（默认模式），或者附加到URL（无Cookie模式）

当后续请求到达服务器时，ASP.NET的FormsAuthenticationModule会自动拦截请求：

• 从Cookie/URL中提取加密的票证
• 验证票证的签名和过期时间，确保合法有效
• 如果验证通过，就基于票证内容创建一个FormsIdentity对象，再包装成GenericPrincipal赋值给HttpContext.User

2. [Authorize]属性的检查逻辑 #

当带有[Authorize]属性的Action/Controller被访问时，MVC框架会触发AuthorizeAttribute的OnAuthorization方法，它的核心检查逻辑可以简化理解为：

if (!filterContext.HttpContext.User.Identity.IsAuthenticated)
{
    // 未认证，跳转到登录页或返回401
    HandleUnauthorizedRequest(filterContext);
}

也就是说，它只关心HttpContext.User.Identity.IsAuthenticated是否为true——而这个值的真假，完全取决于前面FormsAuthenticationModule对票证的验证结果。

3. 为什么说不是直接检查Cookie？ #

举个简单的例子：如果你在代码里手动构造一个合法的FormsIdentity并赋值给HttpContext.User，哪怕请求里没有身份验证Cookie，[Authorize]也会认为用户已经通过认证。比如：

var identity = new FormsIdentity(new FormsAuthenticationTicket(
    1,
    "username",
    DateTime.Now,
    DateTime.Now.AddHours(1),
    false,
    "userdata"
));
HttpContext.User = new GenericPrincipal(identity, new string[] {});

这时候访问带有[Authorize]的Action，会直接通过验证，这就证明[Authorize]并不直接依赖Cookie，而是依赖经过验证后的User身份对象。

总结一下 #

FormsAuthentication.SetAuthCookie()负责生成并存储票证，而ASP.NET的身份验证管道负责解析、验证票证并生成用户身份；[Authorize]属性则是基于这个已经处理好的用户身份来判断是否允许访问——它的检查对象是已验证的Identity，而非原始的Cookie或票证。

内容的提问来源于stack exchange，提问作者Sandeep Rasgotra