要实现ASP.NET Core自定义身份验证方案，并且授权属性不允许用户登录，你可以按照以下步骤进行操作：

1. 创建自定义的身份验证处理程序（CustomAuthenticationHandler）。

public class CustomAuthenticationHandler : AuthenticationHandler
{
    public CustomAuthenticationHandler(IOptionsMonitor options, ILoggerFactory logger, UrlEncoder encoder, ISystemClock clock) 
        : base(options, logger, encoder, clock)
    {
    }

    protected override async Task HandleAuthenticateAsync()
    {
        // 在这里编写验证逻辑
        // 验证成功，调用 Success 方法，传递用户信息
        // 验证失败，调用 Fail 方法，传递失败原因

        // 示例代码：
        var username = Request.Query["username"];
        var password = Request.Query["password"];

        if (username == "admin" && password == "password")
        {
            var claims = new[] { new Claim(ClaimTypes.Name, username) };
            var identity = new ClaimsIdentity(claims, Scheme.Name);
            var principal = new ClaimsPrincipal(identity);
            var ticket = new AuthenticationTicket(principal, Scheme.Name);

            return AuthenticateResult.Success(ticket);
        }
        else
        {
            return AuthenticateResult.Fail("Invalid username or password");
        }
    }
}

2. 创建自定义的身份验证方案选项（CustomAuthenticationOptions）。

public class CustomAuthenticationOptions : AuthenticationSchemeOptions
{
    public const string DefaultScheme = "CustomScheme";
    public string Scheme => DefaultScheme;
    public string AuthenticationType = DefaultScheme;
}

3. 创建自定义的授权属性（CustomAuthorizationAttribute）。

public class CustomAuthorizationAttribute : AuthorizeAttribute, IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationFilterContext context)
    {
        var isAuthenticated = context.HttpContext.User.Identity.IsAuthenticated;

        if (!isAuthenticated)
        {
            context.Result = new StatusCodeResult((int)HttpStatusCode.Forbidden);
        }
    }
}

4. 在Startup.cs文件中配置自定义身份验证方案。

public void ConfigureServices(IServiceCollection services)
{
    // 添加自定义身份验证方案
    services.AddAuthentication(CustomAuthenticationOptions.DefaultScheme)
        .AddScheme(CustomAuthenticationOptions.DefaultScheme, options => { });

    services.AddControllersWithViews();
}

5. 在需要进行身份验证的控制器或动作方法上应用自定义授权属性。

[CustomAuthorization]
public class HomeController : Controller
{
    // 控制器和动作方法的其他代码
}

这样，当用户尝试访问带有[CustomAuthorization]属性的控制器或动作方法时，如果用户未经身份验证，则会返回HTTP 403 Forbidden状态码。