AllowAnonymous 无法与自定义 AuthorizationAttribute 一起使用

Meta

使用自定义的授权特性（AuthorizationAttribute）可以为 ASP.NET Core 应用程序提供更灵活的授权控制。然而，在某些情况下，我们可能希望在不需要授权的情况下允许匿名访问某些特定的接口或页面。然而，使用 AllowAnonymous 特性与自定义的授权特性一起使用时，可能会出现一些问题。

在 ASP.NET Core 中，AllowAnonymous 特性用于标记某个接口或页面可以在未经授权的情况下进行访问。而自定义的授权特性则可以根据业务需求对用户进行更精确的授权控制。然而，在某些情况下，我们可能希望某些接口或页面既可以允许匿名访问，又需要进行额外的授权控制。

在这种情况下，我们可能会尝试将 AllowAnonymous 特性与自定义的授权特性一起使用，以实现我们的需求。然而，根据 ASP.NET Core 的设计，AllowAnonymous 特性无法与自定义的授权特性一起使用。

在 ASP.NET Core 中，每个请求都会经过一系列的中间件处理管道。而授权中间件是 ASP.NET Core 中的一个重要组件，用于对请求进行授权验证。当一个请求到达授权中间件时，它会检查请求中是否存在授权特性，并根据特性的要求进行授权验证。然而，AllowAnonymous 特性会绕过授权中间件的验证过程，直接允许未经授权的访问。

因此，当我们在一个接口或页面同时使用 AllowAnonymous 特性和自定义的授权特性时，授权中间件会优先处理 AllowAnonymous 特性，直接允许未经授权的访问，并不会对自定义的授权特性进行验证。这就导致了自定义的授权特性无法生效的问题。

为了解决这个问题，我们可以通过其他方式来实现我们的需求。一种常见的方式是在自定义的授权特性中手动检查是否存在 AllowAnonymous 特性，并根据需要进行相应的处理。下面是一个简单的示例代码：

csharp
[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, AllowMultiple = true, Inherited = true)]
public class CustomAuthorizeAttribute : Attribute, IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationFilterContext context)
    {
        // 检查是否存在 AllowAnonymous 特性
        var hasAllowAnonymous = context.ActionDescriptor.EndpointMetadata
            .Any(em => em.GetType() == typeof(AllowAnonymousAttribute));
        if (hasAllowAnonymous)
        {
            // 如果存在 AllowAnonymous 特性，则直接通过授权验证
            return;
        }
        // 进行自定义的授权验证逻辑
        if (context.HttpContext.User.Identity.IsAuthenticated)
        {
            // 用户已经通过认证，进行进一步的授权验证
            // 这里可以根据业务需求进行相应的授权验证逻辑
        }
        else
        {
            // 用户未经认证，进行相应的处理，如返回未经授权的错误信息或进行登录跳转等
        }
    }
}

在上面的示例代码中，我们首先检查了当前请求是否存在 AllowAnonymous 特性。如果存在，则直接通过授权验证。否则，我们可以在自定义的授权特性中根据业务需求进行相应的授权验证逻辑。

通过这种方式，我们可以实现同时允许匿名访问和进行自定义授权验证的需求。然而，需要注意的是，由于绕过了授权中间件的验证过程，我们需要在自定义的授权特性中确保对未经授权的访问进行适当的处理，以保证系统的安全性。

在 ASP.NET Core 中，AllowAnonymous 特性用于标记可以在未经授权的情况下进行访问的接口或页面。然而，由于其与自定义的授权特性无法同时使用，我们需要通过其他方式来实现同时允许匿名访问和进行自定义授权验证的需求。通过手动检查 AllowAnonymous 特性并根据需要进行处理，我们可以实现这一需求。然而，需要确保在自定义的授权特性中对未经授权的访问进行适当的处理，以保证系统的安全性。