Есть контроллер с данными и прочими действиями, на них стоит атрибут авторизации который как раз и проверяет наличие этого токена в Header, если нет - не пропускает и возвращает ошибку, иначе все и работает по своему сценарию.
А я прочитал это и прям понял что вы хотите переписать ASP.NET Identity. Все в точности как там. У методов контроллера можно поставить атрибут "Authorized", и тогда если пользователь не авторизован - то он будет переведён на страницу авторизации. Плюс к тому можно указать атрибут Роль, в котором можно указывать для каких ролей действует данный метод контроллера. Ну и много других преимуществ, таких как авторизация через социальные сети.
Все готово, просто не понимаю зачем вам тратить время на разработку своей собственной системы авторизации. Если только вы не пишете сайт для вооруженных сил...)