.NET Web API中如何用Header的userId与JWT实现所有者授权校验

问题1：要求Header携带userId是否为最佳实践？ #

不是。你的方案虽然简化了校验逻辑，但完全没必要——JWT的sub声明已经是经过签名验证的可信用户标识，重复在Header里传递userId属于冗余操作，还会带来两个问题：

• 增加客户端开发负担，需要额外维护这个Header的传递；
• 存在潜在的不一致风险：如果客户端传递的Header里的userId和JWT的sub不匹配（不管是误传还是恶意篡改），你的过滤器会直接返回403，但正确逻辑应该是信任JWT的sub，去校验请求中操作的资源是否属于该用户，而非让客户端主动提供userId。

正确思路：从JWT的sub拿到当前用户ID，再从请求的路由参数、查询字符串或请求体里提取要操作的资源的所有者ID（比如posts/{userId}里的userId），对比两者是否一致，不一致则返回403。

问题2：除userId外，是否需在Header中传递其他授权相关数据？ #

不需要，除非有特殊业务场景。JWT的核心价值就是可以携带经过签名的可信声明，比如角色、权限、租户ID、用户权限范围等，这些数据都应该直接放到JWT的payload里，而不是通过Header传递——Header内容没有签名验证，存在被篡改的风险，且JWT本身已经能满足绝大多数授权数据的传递需求。

如果确实有临时的、不需要持久化到JWT的授权数据（比如单次请求的临时权限），可以考虑用Header，但这种场景非常少见，优先把所有授权相关数据放到JWT声明里。

问题3：如何动态处理所有者授权？实现灵活方案，允许userId来自请求不同位置但统一校验 #

你可以通过自定义属性+过滤器的组合实现，既保持灵活性，又不需要复杂的策略授权：

1. 定义一个自定义属性，标记当前端点的所有者ID来源：

[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class)]
public class OwnerAuthorizationAttribute : Attribute
{
    public enum IdSource
    {
        RouteParam,
        QueryString,
        RequestBody
    }

    public IdSource Source { get; set; }
    public string ParamName { get; set; }
}

2. 改造你的OwnerAuthorizationFilter，读取属性配置动态获取资源所有者ID：

public class OwnerAuthorizationFilter : IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationFilterContext context)
    {
        var currentUserId = context.HttpContext.User.FindFirst("sub")?.Value;
        if (string.IsNullOrEmpty(currentUserId))
        {
            context.Result = new ForbidResult();
            return;
        }

        var attribute = context.ActionDescriptor.EndpointMetadata
            .OfType<OwnerAuthorizationAttribute>()
            .FirstOrDefault();
        if (attribute == null) return;

        string resourceOwnerId = null;
        switch (attribute.Source)
        {
            case OwnerAuthorizationAttribute.IdSource.RouteParam:
                resourceOwnerId = context.HttpContext.Request.RouteValues[attribute.ParamName]?.ToString();
                break;
            case OwnerAuthorizationAttribute.IdSource.QueryString:
                resourceOwnerId = context.HttpContext.Request.Query[attribute.ParamName].ToString();
                break;
            case OwnerAuthorizationAttribute.IdSource.RequestBody:
                var bodyStream = context.HttpContext.Request.Body;
                bodyStream.Seek(0, SeekOrigin.Begin);
                using var reader = new StreamReader(bodyStream);
                var bodyContent = reader.ReadToEnd();
                bodyStream.Seek(0, SeekOrigin.Begin);
                
                var bodyObj = JsonSerializer.Deserialize<dynamic>(bodyContent);
                resourceOwnerId = bodyObj?.GetValue(attribute.ParamName)?.ToString();
                break;
        }

        if (string.IsNullOrEmpty(resourceOwnerId) || resourceOwnerId != currentUserId)
        {
            context.Result = new ForbidResult();
        }
    }
}

3. 在控制器端点上使用该属性：

[ApiController]
[Route("posts")]
public class PostsController : ControllerBase
{
    [HttpGet("{userId}")]
    [OwnerAuthorization(Source = OwnerAuthorizationAttribute.IdSource.RouteParam, ParamName = "userId")]
    public IActionResult GetUserPosts(string userId)
    {
        return Ok();
    }

    [HttpPost]
    [OwnerAuthorization(Source = OwnerAuthorizationAttribute.IdSource.RequestBody, ParamName = "UserId")]
    public IActionResult CreatePost([FromBody] PostCreateDto dto)
    {
        return Created();
    }
}

这种方案既灵活支持不同位置的所有者ID，又保持了校验逻辑的统一，无需复杂的策略授权配置。

内容的提问来源于stack exchange，提问作者netdeveloper