解决ASP.NET Web api 使用AllowAnonymous特性不起作用的问题

最新推荐文章于 2026-06-29 09:05:35 发布
原创 最新推荐文章于 2026-06-29 09:05:35 发布 · 6.7k 阅读 · 2 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
收录于
ASP.NET

当前文章被收录于：

ASP.NET
3 篇文章 0 人学习
订阅专栏 查看详情
本文解析了在ASP.NET MVC中，如何在继承AuthorizeAttribute的情况下，让[AllowAnonymous]特性生效，跳过权限验证。通过在OnAuthorization方法中添加特定代码，实现了自定义过滤器与AllowAnonymous特性的兼容。

低功耗蓝牙项目，需要一块懂省电的板

思澈 SF32LB52 芯片，BLE 协议栈深度优化，上手即开发

点击查看

问题：
在控制器或方法添加[AllowAnonymous]的时候，无法跳过继承AuthorizeAttribute的过滤器的验证。

原因：
在这里插入图片描述

上图是AuthorizeAttribute的源代码

从源代码上来看，[AllowAnonymous]之所以能够跳过AuthorizeAttribute的验证，是因为有SkipAuthorization方法的存在，而我们继承重写方法过后，并没有使用SkipAuthorization方法，所以也没有办法跳过AuthorizeAttribute的检查。

解决方法：
因为SkipAuthorization方法是私有的，用反射又显得有点复杂，所以我们只需要方法里面的核心代码就好，那就是
actionContext.ActionDescriptor.GetCustomAttributes<AllowAnonymousAttribute>().Any()

ActionDescriptor方法是获取Aciton在元数据的描述，所属控制器啊，相关名称啊，特性啊等等
GetCustomAttributes方法是获取其中自定义的特性

所以我们只需要在继承AuthorizeAttribute的 OnAuthorization方法开头这样写就好了
在这里插入图片描述
到这里一般来说都解决了，有什么问题欢迎留言

低功耗蓝牙项目，需要一块懂省电的板

思澈 SF32LB52 芯片，BLE 协议栈深度优化，上手即开发

点击查看
标签
#ASP.NET Core
WebAPi接口安全之公钥私钥加密
xv7676的博客
04-28 1393
随着各种设备的兴起，WebApi作为服务也越来越流行。而在无任何保护措施的情况下接口完全暴露在外面，将导致被恶意请求。最近项目的项目中由于提供给APP的接口未对接口进行时间防范导致短信接口被怒对造成一定的损失，临时的措施导致PC和app的防止措施不一样导致后来前端调用相当痛苦，选型过oauth，https，当然都被上级未通过，那就只能自己写了，就很,,ԾㅂԾ,,。下面就此次的方式做一次记录。最终的效果：传输过程中都是密文，别人拿到请求串不能更改请求参数，通过接口过期时间防止同一请求串一直被调用。
SDIO协议详解：从CMD5握手到功能初始化的核心流程
weixin_30315723的博客
04-15 491
本文深入解析SDIO协议的核心流程，从CMD5电压协商到功能初始化的完整步骤。详细介绍了SDIO协议的物理层与协议层特性，重点剖析CMD5命令的电压协商机制及R4响应解析，并提供功能初始化的实战指南和典型问题排查方法，帮助开发者高效调试SDIO设备。
ASP.NET MVC使用AllowAnonymous特性跳过授权验证
热门推荐
pan_junbiao的博客
11-27 3万+
AllowAnonymous表示一个特性，该特性用于标记在授权期间要跳过 System.Web.Mvc.AuthorizeAttribute 的控制器和操作。 1、在Authorize过滤器类中添加如下代码 //判断是否跳过授权过滤器 if (filterContext.ActionDescriptor.IsDefined(typeof(AllowAnonymousAttribute), t...
NetCore通过中间件判断接口是否存在 AllowAnonymousAttribute 特性
让梦想疯狂
04-02 573
特性来判断一个接口是否被标记为允许匿名访问。以下是一个简单的中间件示例，用于在请求管道中检查接口是否被。.NET Core中，可以通过检查接口上的。在应用程序中使用此中间件，将其添加到。
ABP中的[AllowAnonymous]作用是什么？
dongnihao的博客
05-16 2402
AllowAnonymous] 是一个特性标记（attribute），可以应用在 ASP.NET Core MVC 或者 Web API 应用程序的控制器或方法上。它的作用是允许未经认证的用户匿名访问带有身份验证限制的控制器和方法。如果您想要允许某些操作不需要身份验证，也不需要注册，请使用 [AllowAnonymous] 特性标记。例如，在您的 Web 应用程序中，您可以使用 [AllowAnonymous] 特性标记来允许任何人可以查看博客文章列表页面，而无需进行身份验证。
C# 常用特性
qq_43527485的博客
12-27 1945
当你希望一个属性仅在对象关系映射(ORM)的实体类中存在，但不参与数据库表的生成时，你可以使用。需要注意的是，标记为Serializable的类型必须满足一定的要求，例如所有的非静态字段必须是可序列化的，否则在尝试序列化时会抛出异常。"Serializable"通常与对象的序列化有关，这是将对象的状态转换为字节序列的过程，以便于保存到文件、通过网络发送或进行其他形式的持久化。例如，假设你有一个公开的API端点，你想让任何人都可以访问它，那么你可以在控制器或动作方法上使用。如果你是在谈论数据注解中的。
ASP.NET Web API 安全筛选器
weixin_30432579的博客
03-06 226
原文：https://msdn.microsoft.com/zh-cn/magazine/dn781361.aspx 身份验证和授权是应用程序安全的基础。身份验证通过验证提供的凭据来确定用户身份，而授权则决定是否允许用户执行请求的操作。安全的 Web API 身份验证基于确定的身份请求和授权用户请求的资源访问。 您可以在 ASP.NET Web API 中使用 ASP.NET Web API ...
ASP.NET Core面试精讲系列七
寒冰屋的专栏
03-11 37
ASP.NET Core面试精讲系列七
【课程设计】C#（asp.net）网上在线选课系统-计算机毕业设计源码59014
高级程序源的博客
12-15 3236
（1）院系信息管理模块 ①实现院系信息的添加、修改、删除操作。 ②提供院系信息的查询和展示功能。 （2）专业信息管理模块 ①实现专业信息的添加、修改、删除操作。 ②提供专业信息的查询和展示功能。 （3）课程信息管理模块 ①实现课程信息的添加、修改、删除操作。 ②提供课程信息的查询、分类展示和选课功能。 （4）学生信息管理模块 ①实现学生信息的添加、修改、删除操作。 ②提供学生信息的查询、展示和选课记录查看功能。 （5）教师信息管理模块 ①实现教师信息的添加、修改、删除操作。 ②提供教师信息的查询和展示功能
QShop商城-API权限控制
qiushangju的专栏
06-04 444
在使用Qs.WebApi过程中，系统会对所有的Api进行权限控制。如果没有登录就访问Api接口，会提示"认证失败,Token无效或已超时",如下图：如果想正常调用，必需先调用登录接口/api/Check/Login拿到登录token，如下：把token值放置在http header X-Token中，即可正常调用其他接口。
ASP.NET MVC生命周期详解：7大阶段原理与实战干预
chuji3953的博客
06-14 328
ASP.NET MVC生命周期是Web请求在框架内标准化处理的核心机制，本质是一套基于HTTP协议、分阶段可控的请求处理流水线。其原理围绕路由匹配、控制器激活、模型绑定、动作执行、结果执行、视图渲染和异常处理七大确定性阶段展开，每个阶段具备明确输入输出、可插拔扩展点与短路机制。该机制的技术价值在于为统一日志、权限控制、性能优化和灰度发布等工程实践提供底层支撑；典型应用场景涵盖RESTful路由设计、安全模型绑定、过滤器链式干预及视图性能调优。理解生命周期，即掌握从URL到HTML全过程的调试权与控制权——尤
ASP.NET MVC 执行流程深度解析：从路由匹配到视图渲染的可调试全链路
dejz8829的专栏
06-14 503
ASP.NET MVC 是一种基于约定的 Web 应用开发框架，其核心价值在于显式暴露请求处理的完整生命周期——包括路由解析、模型绑定、动作执行、过滤器调度与视图渲染五大阶段。这种‘契约显性化’设计使开发者能精准定位 404/500 错误根因，尤其在混合架构（如 MVC + Minimal API）或老旧系统升级场景中，成为排查中间件堆叠导致的隐性时序问题的关键能力。技术价值体现在可调试性、组件级可控性与跨版本稳定性上，广泛应用于企业级遗留系统重构、高可靠性后台管理平台及需要强契约约束的 B2B 接口服务。
ASP.NET Forms认证原理与现代Token设计思想解析
unixboy
06-14 417
HTTP无状态协议下如何安全维持用户会话，是Web身份认证的根本命题。从早期Forms认证的加密Cookie机制，到如今JWT、Opaque Token等方案，其核心逻辑一脉相承：将身份声明签名加密后交由客户端携带，服务端无状态校验。FormsAuthenticationTicket作为可扩展的身份载荷容器，配合machineKey密钥体系，实现了跨服务器的可信验证，这正是现代Token签名（Signature）、有效期（Expiration）、自定义数据（UserData）三大特性的原始实践范本。理解它，
.NET应用安全攻防实战：DLL反编译、配置泄露与未授权访问漏洞剖析
weixin_30516243的博客
06-17 386
在Web应用安全领域，代码编译与部署机制直接影响着系统的攻击面。以.NET平台为例，其将源代码编译为包含丰富元数据的中间语言（IL）字节码，这一设计虽然提升了跨平台兼容性，但也使得核心程序集（DLL）面临被反编译的风险，攻击者可借此还原出近似原始的代码逻辑，从而进行漏洞挖掘。从工程实践角度看，这种风险凸显了安全开发左移的重要性。结合常见的未授权访问漏洞与配置信息泄露问题，这些风险点共同构成了针对.NET应用的特有攻击链。本文聚焦于DLL反编译与Web.config配置调试这两个关键热词，深入探讨攻击者如何利
ASP.NET MVC请求生命周期详解：从路由到响应的八大执行阶段
diedangxiang4092的博客
06-14 319
ASP.NET MVC请求生命周期是Web框架处理HTTP请求的标准流程，其核心原理在于将无状态HTTP交互转化为可预测、可插拔的有序执行链。该机制通过路由匹配、控制器激活、模型绑定、动作执行、结果渲染等标准化阶段，实现职责分离与开发效率提升。技术价值体现在统一验证入口、过滤器链式干预、强类型数据保障及视图编译缓存等工程优势。典型应用场景包括权限控制（AuthorizeFilter）、API响应封装（JsonResult）、文件上传异步处理、AJAX请求适配及跨请求调试监控。深入理解这一生命周期，是解决Mo
ASP.NET MVC核心原理与工程实践：分层架构、路由绑定与安全加固
06-14 392
MVC（Model-View-Controller）是一种经典的软件设计模式，旨在通过职责分离提升Web应用的可维护性与可测试性。其核心原理在于将数据逻辑（Model）、用户界面（View）和请求调度（Controller）解耦，借助编译期约束、约定优于配置及依赖注入机制，实现关注点隔离。该架构显著提升故障定位效率、单元测试覆盖率和团队协作质量，广泛应用于企业级ASP.NET Web开发场景，尤其适合中小规模项目演进、遗留系统重构及需强可测性的业务系统。本文深入解析ASP.NET MVC的路由匹配、模型绑定
ASP.NET Core 自定义 Cookie 认证：剥离 Identity 的底层实现指南
didi9310的博客
06-14 442
Cookie 认证是 ASP.NET Core 中最基础、最常用的 Web 身份验证机制，其核心在于 ClaimsPrincipal 的构造与流转、AuthenticationScheme 的统一标识、以及 CookieAuthenticationMiddleware 的执行时机。理解这三者如何协同工作，是摆脱 Identity 框架‘黑盒依赖’、实现与遗留系统对接、定制密码策略或排查 401/403 问题的关键前提。本文聚焦于不依赖 Microsoft.AspNetCore.Identity 的轻量级实现
ASP.NET MVC 13个核心扩展点实战指南：管道机制与生命周期干预
天下无双
06-14 482
ASP.NET MVC的请求处理本质上是一条有序执行的管道，其扩展能力围绕模型绑定、授权校验、动作过滤、结果渲染、异常捕获等基础Web开发概念展开。理解IModelBinder如何将HTTP参数转为强类型对象、IAuthorizationFilter如何实现动态权限决策、IActionFilter如何安全钩住执行前后时机，是构建可维护、可监控、可灰度系统的前提。这些扩展点并非孤立接口，而是嵌套在MVC生命周期中的关键干预锚点，直接影响日志统一性、响应安全性、时区一致性与异常降级能力。本文聚焦真实生产场景下的
授权过滤器
龙傲天的博客
01-17 751
Authorize:限定角色中用户访问Action； 解释：用于登录界面，Web.config页面中添加代码 指定登录Controller和Action [HttpPost] [Authorize(Users="LiWei,dongzhou")] [Authorize(Roles="Admin")] [AllowAnonymous]//包
基于IdentityServer4构建集中式身份认证与授权服务实战指南
最新发布
weixin_34198762的博客
06-29 315
在现代分布式系统和微服务架构中，身份认证与授权是保障应用安全的核心基础。其核心原理是通过标准化的协议（如OAuth 2.0和OpenID Connect），将用户身份验证和权限管理从各个分散的应用中抽离，交由一个独立的、可信的认证服务器统一处理。这种中心化认证、分布式鉴权的模式，其技术价值在于实现了安全的单点登录、统一的权限控制，并大幅降低了多应用场景下的开发与维护成本。典型的应用场景包括保护Web API、实现前后端分离应用的安全集成，以及为移动应用和第三方服务提供标准的认证入口。本文将以Identity
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值