从.NET4迁移至.NET8：CheckUrlAccessForPrincipal的等效方法

我们正将基于.NET 4的遗留ASP.NET MVC应用迁移至.NET 8，该内部应用采用Windows身份验证与AD组实现授权。路由授权已通过RequireAuthorization方法配置，示例代码如下：

app.MapControllerRoute(...)
   .RequireAuthorization(new AuthorizeAttribute() { Roles = "group1,group2" });

此配置对应原.NET 4中web.config内的location/system.web/authorization节点。现在需要在渲染导航时仅展示用户有权访问的链接，原.NET 4中使用UrlAuthorizationModule.CheckUrlAccessForPrincipal方法判断权限：

bool UserHasAccess = UrlAuthorizationModule.CheckUrlAccessForPrincipal(Url, HttpContext.Current.User, "GET");

未找到.NET 8中的等效方法，请问.NET 8中用于判断用户是否有权访问指定路径的方法是什么？

解决方案 #

.NET 8的端点路由模型中没有与UrlAuthorizationModule.CheckUrlAccessForPrincipal完全等效的API，你可以通过以下步骤实现相同的权限校验逻辑：

1. 依赖注入核心服务
   需要用到IAuthorizationService（执行授权验证）和IEndpointSelectorPolicy（根据路径匹配对应端点），这两个服务可通过依赖注入获取。

2. 匹配目标路径对应的端点
   临时修改当前请求的路径与HTTP方法，通过端点选择器匹配到目标路径对应的端点，再提取该端点上的授权规则。

3. 执行授权验证
   结合当前用户与提取到的授权规则，调用授权服务验证用户权限。

示例代码如下：

using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Http;
using Microsoft.AspNetCore.Routing;

public async Task<bool> CheckUrlAccessAsync(string targetUrl, HttpContext currentContext)
{
    // 保存原始请求的路径和方法，后续恢复
    var originalPath = currentContext.Request.Path;
    var originalMethod = currentContext.Request.Method;

    try
    {
        // 模拟目标请求的上下文
        currentContext.Request.Path = targetUrl;
        currentContext.Request.Method = "GET"; // 根据实际业务需求调整HTTP方法

        // 获取端点数据源与选择器
        var endpointDataSource = currentContext.RequestServices.GetRequiredService<EndpointDataSource>();
        var endpointSelector = currentContext.RequestServices.GetRequiredService<IEndpointSelectorPolicy>();

        // 匹配目标路径对应的端点
        var candidateSet = new CandidateSet(endpointDataSource.Endpoints, currentContext);
        await endpointSelector.SelectAsync(currentContext, candidateSet);
        var targetEndpoint = candidateSet.Endpoints.FirstOrDefault(e => e != null);

        if (targetEndpoint == null)
        {
            // 未找到对应端点，可根据业务逻辑返回允许/拒绝
            return false;
        }

        // 提取端点的授权规则并组合成授权策略
        var authorizeData = targetEndpoint.Metadata.GetOrderedMetadata<IAuthorizeData>();
        var policyProvider = currentContext.RequestServices.GetRequiredService<IAuthorizationPolicyProvider>();
        var authorizationPolicy = await AuthorizationPolicy.CombineAsync(policyProvider, authorizeData);

        if (authorizationPolicy == null)
        {
            // 该端点无授权限制，允许访问
            return true;
        }

        // 执行授权验证
        var authorizationService = currentContext.RequestServices.GetRequiredService<IAuthorizationService>();
        var authResult = await authorizationService.AuthorizeAsync(currentContext.User, authorizationPolicy);

        return authResult.Succeeded;
    }
    finally
    {
        // 恢复原始请求的路径和方法，避免影响后续逻辑
        currentContext.Request.Path = originalPath;
        currentContext.Request.Method = originalMethod;
    }
}

补充说明 #

• 如果路由包含参数，需确保传入的targetUrl是完整的、能匹配到端点的有效路径；
• 对于Windows身份验证，currentContext.User会自动携带AD组信息，授权策略会自动校验角色（AD组）权限，无需额外处理。

内容的提问来源于stack exchange，提问作者Nick Van Brunt