ASP.NET Core 8 + Keycloak：派生控制器无重复代码角色授权方案

可以在基础控制器中实现通用化授权，无需在每个派生控制器重复配置。以下是两种简洁的实现方案：

方案一：自定义泛型授权属性 #

通过创建基于实体类型自动生成对应角色的自定义Authorize属性，直接应用在基础控制器上，派生控制器继承后自动绑定Keycloak中定义的角色。

实现步骤： #

1. 自定义泛型授权属性

public class AuthorizeForEntityAttribute<T> : AuthorizeAttribute
{
    public AuthorizeForEntityAttribute()
    {
        var entityName = typeof(T).Name;
        // 拼接Keycloak中定义的Read/Write角色，支持多角色逻辑或关系
        Roles = $"Read_{entityName},Write_{entityName}";
    }
}

2. 在基础控制器上应用属性

[AuthorizeForEntity<T>]
public class BaseController<T> : ControllerBase
{
    // 通用CRUD方法实现
    [HttpGet]
    public virtual IActionResult GetAll() { /* 业务逻辑 */ }

    [HttpPost]
    public virtual IActionResult Create(T entity) { /* 业务逻辑 */ }

    // 其他CRUD方法...
}

3. 派生控制器直接继承

// 自动拥有Read_ObjectA、Write_ObjectA角色授权
public class ObjectAController : BaseController<ObjectA>
{
    // 无需额外添加[Authorize]，直接复用基础控制器的CRUD方法
}

方案二：自定义授权策略（更灵活） #

如果需要区分CRUD操作的不同角色权限，可通过ASP.NET Core授权系统自定义策略和处理程序，动态根据当前实体类型验证Keycloak角色。

实现步骤： #

1. 定义授权要求

public class EntityAuthorizationRequirement : IAuthorizationRequirement
{
    public Type EntityType { get; }
    public string Operation { get; } // 区分Read/Write/Update/Delete

    public EntityAuthorizationRequirement(Type entityType, string operation)
    {
        EntityType = entityType;
        Operation = operation;
    }
}

2. 实现授权处理程序

public class EntityAuthorizationHandler : AuthorizationHandler<EntityAuthorizationRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, EntityAuthorizationRequirement requirement)
    {
        var entityName = requirement.EntityType.Name;
        var requiredRole = $"{requirement.Operation}_{entityName}";

        // 检查用户Claims中是否包含Keycloak的角色（Keycloak默认将角色放在"role"类型的Claim中）
        if (context.User.HasClaim(c => c.Type == "role" && c.Value == requiredRole))
        {
            context.Succeed(requirement);
        }

        return Task.CompletedTask;
    }
}

3. 注册授权服务与策略
   在Program.cs中添加授权配置：

builder.Services.AddAuthorization(options =>
{
    // 为CRUD操作分别定义策略
    options.AddPolicy("EntityRead", policy =>
        policy.Requirements.Add(new EntityAuthorizationRequirement(default, "Read")));
    options.AddPolicy("EntityWrite", policy =>
        policy.Requirements.Add(new EntityAuthorizationRequirement(default, "Write")));
});

// 注册授权处理程序
builder.Services.AddScoped<IAuthorizationHandler, EntityAuthorizationHandler>();

4. 在基础控制器的CRUD方法上绑定策略

public class BaseController<T> : ControllerBase
{
    private readonly IAuthorizationService _authorizationService;

    public BaseController(IAuthorizationService authorizationService)
    {
        _authorizationService = authorizationService;
    }

    [HttpGet]
    public virtual async Task<IActionResult> GetAll()
    {
        var requirement = new EntityAuthorizationRequirement(typeof(T), "Read");
        var authResult = await _authorizationService.AuthorizeAsync(User, null, requirement);
        if (!authResult.Succeeded) return Forbid();
        
        // 业务逻辑
        return Ok();
    }

    [HttpPost]
    public virtual async Task<IActionResult> Create(T entity)
    {
        var requirement = new EntityAuthorizationRequirement(typeof(T), "Write");
        var authResult = await _authorizationService.AuthorizeAsync(User, null, requirement);
        if (!authResult.Succeeded) return Forbid();
        
        // 业务逻辑
        return CreatedAtAction(nameof(GetAll), entity);
    }
}

策略优化（可选） #

若想进一步简化代码，可实现IAuthorizationPolicyProvider动态生成策略，根据当前控制器的泛型参数自动匹配实体类型，避免在方法中手动创建授权要求。

注意事项 #

• 确保Keycloak的角色以role类型的Claim正确传递到ASP.NET Core，可在AddJwtBearer配置中通过ClaimActions或TokenValidationParameters调整Claim映射规则。
• 如需调整角色的逻辑关系（比如“且”而非“或”），可在自定义属性或处理程序中修改角色判断逻辑。

内容的提问来源于stack exchange，提问作者Jonas Strt