甚至在没有[Authorize]属性的情况下调用handleAuthenticationAsync

听起来你可能误用了这个词 AuthenticationHandler . 如果用户未能进行身份验证,则不应立即拒绝访问。如果这样做,它甚至不会到达管道中的MVC上下文。

除非您有意拒绝对未经身份验证的用户的任何访问,否则您应该仅以匿名用户身份进行身份验证或传递。在那之后的某个时刻 AuthorizeAttribute 将启动并检查用户是否有权访问请求的资源。如果他未经认证,授权将拒绝该请求。