ASP.NET Core授权：动态限制匿名用户看数据，允许登录用户看全部

你的核心困惑在于没理清「API权限控制」和「前端UI显示控制」的分工，这两者必须配合使用，不能忽略任何一方，以下是针对你的博客场景的具体解决思路：

1. Web API端：必须用[Authorize]构建权限屏障，按需返回数据 #

Web API是数据安全的核心防线（Wasm前端完全可被篡改，不能依赖前端过滤数据），你需要：

• 合理搭配[AllowAnonymous]和[Authorize]：
  • 公开文章的查询接口（通过GUID访问）加[AllowAnonymous]，但内部做身份判断返回对应数据：

    [HttpGet("{guid}")]
    [AllowAnonymous]
    public async Task<IActionResult> GetArticleByGuid(string guid)
    {
        var article = await _dbContext.Articles.FirstOrDefaultAsync(a => a.ShareGuid == guid);
        if (article == null) return NotFound();
    
        // 获取作者配置的公开字段列表
        var publicFields = article.AuthorPublicFields.Split(',');
        
        if (User.Identity.IsAuthenticated)
        {
            // 登录用户返回完整数据+全部评论（含私有）
            var fullDto = _mapper.Map<FullArticleDto>(article);
            fullDto.Comments = await _dbContext.Comments
                .Where(c => c.ArticleId == article.Id)
                .ToListAsync();
            return Ok(fullDto);
        }
        else
        {
            // 匿名用户只返回公开字段+非私有评论
            var publicDto = new PublicArticleDto();
            if (publicFields.Contains("Title")) publicDto.Title = article.Title;
            if (publicFields.Contains("Content")) publicDto.Content = article.Content;
            if (publicFields.Contains("CreatedDateTime")) publicDto.CreatedDateTime = article.CreatedDateTime;
            
            publicDto.Comments = await _dbContext.Comments
                .Where(c => c.ArticleId == article.Id && !c.IsPrivate)
                .ToListAsync();
            return Ok(publicDto);
        }
    }
    

  • 修改/删除文章、提交私有评论这类敏感接口必须加[Authorize]，还要校验用户是否为文章作者：

    [HttpPut("{id}")]
    [Authorize]
    public async Task<IActionResult> UpdateArticle(int id, UpdateArticleDto dto)
    {
        var article = await _dbContext.Articles.FindAsync(id);
        if (article == null) return NotFound();
        
        // 校验当前用户是否为文章作者
        if (article.AuthorId != User.FindFirstValue(ClaimTypes.NameIdentifier))
        {
            return Forbid();
        }
        
        _mapper.Map(dto, article);
        await _dbContext.SaveChangesAsync();
        return Ok();
    }
    

• 针对GetTitle方法[Authorize]无效的问题：检查API的认证配置是否正确（比如是否启用JWT认证服务、中间件是否配置），同时确认该方法的路由未与其他[AllowAnonymous]路由冲突。

2. 前端Blazor WASM：用AuthorizeView做UI控制，减少重复代码 #

前端AuthorizeView用来控制UI元素显隐，避免冗余代码可以这样做：

• 封装自定义组件：比如针对文章字段的<ArticleField>组件，内部封装显示逻辑：

  @* ArticleField.razor *@
  @if (IsVisible)
  {
      <div class="article-field">
          @Label: @Value
      </div>
  }
  
  @code {
      [Parameter] public string Label { get; set; }
      [Parameter] public object Value { get; set; }
      [Parameter] public bool IsPublic { get; set; }
      [CascadingParameter] private Task<AuthenticationState> AuthStateTask { get; set; }
  
      private bool IsVisible { get; set; }
  
      protected override async Task OnInitializedAsync()
      {
          var authState = await AuthStateTask;
          IsVisible = IsPublic || authState.User.Identity.IsAuthenticated;
      }
  }
  

  使用时只需传入字段是否公开的标识：

  <ArticleField Label="创建时间" Value="@Article.CreatedDateTime" IsPublic="@Article.PublicFields.Contains("CreatedDateTime")" />
  

• 用ViewModel封装显示逻辑：在前端接收API返回的DTO后，封装一个包含显隐判断的ViewModel，避免到处写AuthorizeView：

  public class ArticleViewModel
  {
      public PublicArticleDto PublicDto { get; set; }
      public FullArticleDto FullDto { get; set; }
      public bool IsAuthenticated { get; set; }
  
      public bool ShowAuthor => IsAuthenticated;
      public DateTime? CreatedDateTime => IsAuthenticated ? FullDto.CreatedDateTime : PublicDto.CreatedDateTime;
  }
  

  前端直接绑定ViewModel的属性即可。

3. 解决你的具体问题 #

• 匿名用户错误看到作者信息：API端返回的匿名用户DTO中不要包含作者字段，从根源上避免数据泄露，不要依赖前端过滤。
• 大量AuthorizeView组件：通过自定义组件或ViewModel封装显示逻辑，减少重复代码。
• 为未授权访问创建新ApplicationUser：完全不需要，API端通过User.Identity.IsAuthenticated判断用户状态即可，匿名用户直接返回公开数据。

最佳实践总结 #

• 绝对不能忽略[Authorize]特性：它是API的权限入口，确保敏感操作只能被授权用户访问，同时结合数据库层面的校验（如作者才能修改自己的文章）。
• AuthorizeView是前端UI控制的合理手段：用来区分匿名/登录用户的显示内容，但不能依赖它保护数据（数据保护必须在API端）。
• 用DTO裁剪数据：根据用户身份返回不同的DTO，避免前端拿到超出权限的数据，这是最安全的做法。

内容的提问来源于stack exchange，提问作者Apahdos