ASP.NET Core 8 Web API基于角色的授权实现难题求助

基础配置：全局默认拒绝所有未授权访问 #

要避免遗漏[Authorize]导致的API暴露，先在Program.cs中配置全局 fallback 策略，确保所有API默认要求用户已认证且无显式授权时拒绝访问：

builder.Services.AddAuthorization(options =>
{
    // 设置默认策略：所有请求必须经过认证，无额外授权规则时默认拒绝
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

该配置从根源解决了“遗漏授权导致敏感API暴露”的安全问题，所有未添加[AllowAnonymous]或[Authorize]的API会自动拒绝访问。

实现第一种方案：默认无角色可访问，仅显式声明的角色能访问 #

核心逻辑：控制器默认无任何角色可访问，仅添加特定[Authorize(Roles)]的动作允许对应角色访问，其他动作完全拒绝（包括Admin）。

基于全局配置，直接按期望编写代码即可：

public class AppController : Controller
{
    // 仅"User"角色可访问
    [Authorize(Roles = "User")]
    public IActionResult ListItems() 
    {
        // 业务逻辑
    }

    // 无任何角色可访问（全局fallback策略自动拒绝所有请求）
    public IActionResult GetItem() 
    {
        // 业务逻辑
    }
}

原理 #

• 全局FallbackPolicy确保未添加[Authorize]的GetItem动作拒绝所有已认证/未认证请求；
• ListItems动作的[Authorize(Roles = "User")]覆盖全局策略，仅允许User角色访问。

实现第二种方案：Admin默认访问所有，动作级声明允许额外角色 #

核心逻辑：控制器默认仅Admin可访问，动作级声明的角色允许该角色或Admin访问，未声明的动作仅Admin可访问。

由于默认角色授权是叠加逻辑（控制器+动作角色需同时满足），需通过自定义授权策略实现“Admin或指定角色”的逻辑：

步骤1：注册自定义授权策略 #

在Program.cs中添加通用策略，允许Admin角色，或满足动作级声明的角色：

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();

    // 自定义策略：允许Admin，或满足当前动作指定的角色
    options.AddPolicy("AdminOrSpecificRole", policy =>
        policy.RequireAssertion(context =>
        {
            // 获取当前动作上的AuthorizeAttribute
            var authorizeAttr = context.Resource as EndpointMetadataCollection?
                ?.GetMetadata<AuthorizeAttribute>();

            if (authorizeAttr != null && !string.IsNullOrEmpty(authorizeAttr.Roles))
            {
                var requiredRoles = authorizeAttr.Roles.Split(',', StringSplitOptions.RemoveEmptyEntries);
                // 允许Admin，或任意指定角色
                return context.User.IsInRole("Admin") || requiredRoles.Any(context.User.IsInRole);
            }

            // 无动作级角色声明时，仅允许Admin
            return context.User.IsInRole("Admin");
        }));
});

步骤2：编写控制器代码 #

将控制器默认授权改为使用自定义策略，动作级添加指定角色：

[Authorize(Policy = "AdminOrSpecificRole")]
public class AppController : Controller
{
    // "User"或"Admin"角色可访问
    [Authorize(Roles = "User")]
    public IActionResult ListItems() 
    {
        // 业务逻辑
    }

    // 仅"Admin"角色可访问（继承控制器的策略）
    public IActionResult GetItem() 
    {
        // 业务逻辑
    }
}

原理 #

• 控制器的[Authorize(Policy = "AdminOrSpecificRole")]触发自定义策略检查；
• ListItems动作的Roles = "User"被策略读取，允许Admin或User访问；
• GetItem动作无额外角色声明，策略仅允许Admin访问。

内容的提问来源于stack exchange，提问作者Mickael V.