Blazor WebAssembly多角色授权异常问题求助

问题根源 #

你当前的写法中，AuthorizeView Roles属性接收的是逗号分隔的字符串（比如"Administrator,Manager"），但Blazor默认会把这个整个字符串当作单个角色名称去校验，而不是识别为多个角色的“或”条件。当用户同时拥有两个角色时，系统会检查用户是否存在名为"Administrator,Manager"的角色，自然匹配失败，导致授权失效。

解决方案一：自定义授权策略（推荐） #

通过注册自定义授权策略，将每个规则对应的多角色转换成“任意匹配”的授权逻辑，之后直接在AuthorizeView中引用策略名即可。

1. 注册授权策略 #

在Program.cs中，遍历你的RulesAndRoles规则，为每个规则创建专属策略：

builder.Services.AddAuthorization(options =>
{
    foreach (var rule in RulesAndRoles.Rules)
    {
        // 拆分逗号分隔的角色字符串并去空
        var requiredRoles = rule.Roles.Split(',')
                                      .Select(r => r.Trim())
                                      .Where(r => !string.IsNullOrEmpty(r))
                                      .ToList();
        
        // 为每个规则创建策略：用户拥有任意一个角色即授权通过
        options.AddPolicy($"Rule_{rule.Id}", policy => 
            policy.RequireRole(requiredRoles));
    }
});

2. 在组件中使用策略 #

替换原来的Roles属性为Policy，直接引用对应规则的策略名：

<AuthorizeView Policy="Rule_1">
    <IconNavLink Href="Management" Icon="fa-star">
        @localizer["Management"]
    </IconNavLink>
</AuthorizeView>
<AuthorizeView Policy="Rule_2">
    <IconNavLink Href="Entity" Icon="fa-star">
        @localizer["Entity"]
    </IconNavLink>
</AuthorizeView>

解决方案二：自定义多角色授权组件 #

如果不想修改全局授权策略，可以封装一个自定义组件，直接处理逗号分隔的角色列表，实现“任意角色匹配”逻辑。

1. 创建自定义组件MultiRoleAuthorizeView.razor #

@using Microsoft.AspNetCore.Components.Authorization
@inject AuthenticationStateProvider AuthenticationStateProvider

@if (isAuthorized)
{
    @ChildContent
}
else
{
    @NotAuthorizedContent
}

@code {
    [Parameter]
    public string Roles { get; set; } = string.Empty;

    [Parameter]
    public RenderFragment? ChildContent { get; set; }

    [Parameter]
    public RenderFragment? NotAuthorizedContent { get; set; }

    private bool isAuthorized;

    protected override async Task OnInitializedAsync()
    {
        var authState = await AuthenticationStateProvider.GetAuthenticationStateAsync();
        var user = authState.User;

        // 拆分并校验角色：用户拥有任意一个即授权通过
        var requiredRoles = Roles.Split(',')
                                 .Select(r => r.Trim())
                                 .Where(r => !string.IsNullOrEmpty(r));
        isAuthorized = requiredRoles.Any(role => user.IsInRole(role));
    }
}

2. 在页面中使用自定义组件 #

<MultiRoleAuthorizeView Roles="@RulesAndRoles.Rules.FirstOrDefault(xd=> xd.Id ==1).Roles.ToString()">
    <IconNavLink Href="Management" Icon="fa-star">
        @localizer["Management"]
    </IconNavLink>
</MultiRoleAuthorizeView>
<MultiRoleAuthorizeView Roles="@RulesAndRoles.Rules.FirstOrDefault(xd=> xd.Id ==2).Roles.ToString()">
    <IconNavLink Href="Entity" Icon="fa-star">
        @localizer["Entity"]
    </IconNavLink>
</MultiRoleAuthorizeView>

这两种方案都能替代你之前嵌套AuthorizeView的繁琐写法，且能完美支持多角色的“或”逻辑授权。

内容的提问来源于stack exchange，提问作者Yusuf Kıdır