为何Action上的Authorize特性无法覆盖Controller级别的授权设置？

嘿，我来帮你拆解这个问题——你遇到的情况大概率是下面两个原因之一：

1. 使用的MVC版本不支持[OverrideAuthorization]特性 #

[OverrideAuthorization]是ASP.NET MVC 5.1版本才引入的特性，如果你的项目用的是MVC 5或者更早的版本，这个特性根本不会生效。控制器上的[Authorize(Roles = "1")]会一直生效，Action上的授权规则相当于叠加（而非覆盖），所以角色2的用户还是会被控制器级别的授权拦住。

2. 父类BaseController带有授权特性 #

看你的代码，ServicesController继承自BaseController，如果你的BaseController本身也标记了[Authorize]特性（不管有没有角色限制），那[OverrideAuthorization]只能覆盖当前控制器（ServicesController）级别的授权过滤器，无法移除父类控制器上的授权规则。MVC的授权过滤器是累加执行的，父类的授权会和Action上的授权一起检查，只要有一个不通过就会拦截。

对应的解决方法： #

• 如果是版本问题：升级你的ASP.NET MVC到5.1及以上版本，或者换一种方式实现——比如移除控制器级别的[Authorize]，然后给其他Action单独添加[Authorize(Roles = "1")]，只让GetServices用[Authorize(Roles="1,2")]。
• 如果是父类授权的问题：
  • 如果你不需要BaseController的全局授权，直接去掉BaseController上的[Authorize]特性；
  • 如果必须保留BaseController的授权，那可以在GetServicesAction上使用[AllowAnonymous]，然后再添加自定义的授权逻辑（比如手动检查用户角色），或者实现一个自定义授权过滤器来覆盖父类的规则。

修正后的代码示例（假设升级到MVC 5.1+且BaseController无授权）： #

[Authorize(Roles = "1")]
public class ServicesController : BaseController
{
    // GET: Services
    [OverrideAuthorization]
    [Authorize(Roles="1,2")]
    [HttpGet]
    public JsonResult GetServices()
    {
        return Json(ServicesRepository.SelectServices(), JsonRequestBehavior.AllowGet);
    }

    // 其他需要仅角色1访问的Action
    [HttpGet]
    public JsonResult OtherAction()
    {
        return Json(new { Message = "仅角色1可见" }, JsonRequestBehavior.AllowGet);
    }
}

内容的提问来源于stack exchange，提问作者user9677867