[Authorize] overridden by a farther [AllowAnonymous] (ASP0026)

Anahtar dotnet.security.authorize-overridden-by-allowanonymous · Önem error · Kategori security · CWE CWE-862

ASP.NET Core analizörü ASP0026. Bir action’ı koruyor gibi görünen ama korumayan [Authorize]‘ı işaretler: daha uzaktaki (controller ya da temel sınıftaki) [AllowAnonymous] ona üstün gelir. Action herkese açıktır.

Yanlış

[AllowAnonymous]
public class ReportsController : ControllerBase
{
    [Authorize(Roles = "Admin")]
    [HttpDelete("{id}")]
    public IActionResult Delete(int id) => Ok();
}

Doğru

[Authorize]
public class ReportsController : ControllerBase
{
    [Authorize(Roles = "Admin")]
    [HttpDelete("{id}")]
    public IActionResult Delete(int id) => Ok();
}