ASP.NET Core 2中无需Identity/OWIN的自定义授权属性实现问询

当然可以！在ASP.NET Core 2中，你完全能避开Identity或OWIN，用MVC自带的过滤器体系实现符合需求的自定义授权——这种方式直接和请求上下文交互，能精准控制MVC是否继续处理请求。最适合的方案是自定义AuthorizationAttribute或者直接实现IAuthorizationFilter接口，下面是具体实现步骤：

方案一：自定义授权特性（推荐，可复用） #

继承AuthorizeAttribute并实现IAuthorizationFilter，这样你的特性既贴合MVC的授权体系，又能完全自定义逻辑：

using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;
using System.Linq;

public class CustomAuthorizeAttribute : AuthorizeAttribute, IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationFilterContext context)
    {
        // 获取当前请求上下文
        var httpContext = context.HttpContext;
        
        // 执行你的自定义授权逻辑（示例：检查请求头中的自定义Token）
        bool isAuthorized = ValidateRequest(httpContext);
        
        if (!isAuthorized)
        {
            // 拒绝请求：返回401未授权（或403禁止，根据你的需求选择）
            context.Result = new UnauthorizedResult();
            // 如果需要返回自定义内容，也可以用：
            // context.Result = new JsonResult(new { Message = "无权访问" }) { StatusCode = 401 };
            return;
        }
        
        // 授权通过时，无需额外操作，MVC会自动继续执行后续流程
    }
    
    private bool ValidateRequest(HttpContext httpContext)
    {
        // 这里可以写任意授权逻辑：检查Cookie、Query参数、请求体，甚至调用第三方验证服务
        var customToken = httpContext.Request.Headers["X-Custom-Auth-Token"].FirstOrDefault();
        return !string.IsNullOrEmpty(customToken) && customToken.Equals("YourValidTokenHere");
    }
}

使用方式 #

直接把这个特性标注在需要授权的Controller或Action上即可：

[CustomAuthorize]
public class AdminController : Controller
{
    public IActionResult Dashboard()
    {
        return View();
    }
}

方案二：独立授权过滤器（轻量，灵活） #

如果不需要做成可复用的特性，也可以直接实现IAuthorizationFilter接口，创建独立的过滤器：

using Microsoft.AspNetCore.Mvc.Filters;

public class SimpleAuthorizationFilter : IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationFilterContext context)
    {
        var httpContext = context.HttpContext;
        
        // 自定义授权逻辑示例：检查Session中的用户标识
        bool isAuthorized = httpContext.Session.GetString("UserId") != null;
        
        if (!isAuthorized)
        {
            context.Result = new ForbidResult();
        }
    }
}

注册方式 #

• 全局注册：所有请求都会经过这个授权检查（在Startup.cs的ConfigureServices中）：

services.AddMvc(options =>
{
    options.Filters.Add<SimpleAuthorizationFilter>();
});

• 局部注册：仅对特定Controller/Action生效：

[TypeFilter(typeof(SimpleAuthorizationFilter))]
public class UserController : Controller
{
    // ...
}

为什么不用中间件？ #

中间件确实能在请求管道中做授权，但如果你需要和MVC的上下文（比如Action信息、路由数据）交互，过滤器会更合适：

• AuthorizationFilter是MVC管道的一部分，能访问AuthorizationFilterContext，里面包含了ActionDescriptor、RouteData等MVC特有的信息；
• 中间件只能拿到HttpContext，无法直接获取MVC层面的细节。
  当然，如果你的授权逻辑完全不需要MVC相关信息，中间件也是可行的，但过滤器更贴合MVC的授权场景。

内容的提问来源于stack exchange，提问作者Artem