Авторизация MVC внутри MapWhen () применяется ко всем контроллерам

Переместите приведенный ниже код выше в своем классе Startup (выше app.MapWhen).

 app.UseAuthentication();
 app.UseAuthorization();

Важно отметить, что app.UseAuthorization должен находиться между app.UseRouting() и app.UseEndpoints(...);

Итак, это должно выглядеть примерно так:

        app.UseRouting();
        app.UseAuthentication();
        app.UseAuthorization();
        app.UseEndpoints(endpoints =>
        {
            endpoints.MapControllerRoute(
                name: "default",
                pattern: "{controller}/{action=Index}/{id?}");
        });

Я отдаю себе должное за полный ответ, потратив сегодня некоторое время на это и разместив код. Спасибо mwilson за то, что подтолкнул меня попробовать еще раз.

До моего нового подхода при каждом запуске кода отображалось это предупреждение ...

Startup.cs(189,13): warning ASP0001: The call to UseAuthorization
should appear between app.UseRouting() and app.UseEndpoints(..)
for authorization to be correctly evaluated.

Таким образом, решение состоит не только в том, чтобы распознать это предупреждение и прислушаться к нему, но и найти способ умиротворить богов компиляторов. (И ниже вы увидите, что я еще не понял, как это сделать.)

Вот что я сегодня выяснил. Я разместил вызовы UseAuthentication и UseAuthorization в двух разных местах. Это работает. В некотором роде.

В этом проекте API теперь я могу запускать анонимные незащищенные конечные точки, защищенные конечные точки, а также, для бонусных баллов, защищенные конечные точки GraphQL.

FWIW, код ниже:

        public void Configure(...)
        {
            ...
            ...
            app.UseStaticFiles();
            app.UseRouting();

            app.MapWhen(
                context => (context.Request.Path
                    .StartsWithSegments(new PathString("/api"))
                ),
                a =>
                {
                    a.UseRouting();
                    a.UseAuthentication();
                    a.UseAuthorization();
                    a.UseEndpoints(endpoints =>
                    {
                        endpoints
                            .MapControllers()
                            .RequireAuthorization(...);
                    });
                }
            );

            app.UseAuthentication();
            app.UseAuthorization();

            app.UseWebSockets();
            app.UseGraphQLWebSockets<...>(...);
            app.UseGraphQL<...>(...);
        }

Это работает, но я все равно получаю предупреждение компилятора. Более того, если я стану слишком умным наполовину и попробую использовать следующий контроллер ...

    [Route("vapi/[controller]")]
    //[AllowAnonymous]
    public class VersionController : Controller
    { ...

вместе с этим дополнительным кодом Startup.cs ...

            app.MapWhen(
                context => (context.Request.Path
                    .StartsWithSegments(new PathString("/vapi"))
                ),
                a =>
                {
                    a.UseRouting();
                    // a.UseAuthentication(); <-- look, Ma, no authentication!
                    // a.UseAuthorization(); <-- look, Ma, no authorization!
                    a.UseEndpoints(endpoints =>
                    {
                        endpoints
                            .MapControllers()
                            .RequireAuthorization(...);
                    });
                }
            );

Я также все еще получаю ошибку, указанную в моем OP. (Это все возвращается ко мне, как в старый кошмар ...)

Endpoint ....Controllers.VersionController.Version (...) contains authorization
metadata, but a middleware was not found that supports authorization.
Configure your application startup by adding app.UseAuthorization() ...

Итак, я оставляю дело в следующем: я все еще не могу делать то, что хотел, а именно защищать только определенные пути к контроллерам. Что я могу сделать (без добавления кода поддержки пути "vapi" в автозагрузку):

    [Route("api/[controller]")]
    [AllowAnonymous]
    public class VersionController : Controller
    { ...

Итак ... Я назову это ответом, пока кто-нибудь не опубликует полезный набор кода, который улучшит его.

Я использую атрибут Authorize для классов / контроллеры, чтобы заставить систему требовать аутентифицированного пользователя. Если вы укажете параметр для этого атрибута, это потребует от пользователя наличия этого утверждения. Для любого контроллера или метода, которые должны быть доступны без аутентификации, мы устанавливаем AllowAnonymous -атрибут контроллера или конкретного метода. Это должно отменять любые требования к авторизации.