Если вы посмотрите на метод System.Web.Mvc.ControllerActionInvoker.InvokeAction
с отражателем, вы увидите, что все фильтры, реализующие IAuthorizationFilter , вызываются до атрибутов, происходящих из ActionFilterAttribute , и это потому, что авторизация выполняется перед вызовом действие.