ASP.NET Core 8：自定义参数化授权属性的配置疑问

你的实现思路是对的，不需要额外创建命名授权策略，因为MyCustomAttribute同时继承了AuthorizeAttribute并实现了IAuthorizationRequirement，ASP.NET Core的授权系统会自动关联对应的处理器。以下是完整的配置和完善步骤：

1. 完善自定义属性（可选但推荐） #

为避免自定义值被意外修改，将MyCustomValue设为只读：

internal class MyCustomAttribute : AuthorizeAttribute, IAuthorizationRequirement
{
    public string MyCustomValue { get; }

    public MyCustomAttribute(string customValue)
    {
        MyCustomValue = customValue ?? throw new ArgumentNullException(nameof(customValue));
    }
}

2. 完善授权处理器逻辑 #

在HandleRequirementAsync中实现具体的授权校验逻辑（示例可根据业务需求调整）：

internal class MyCustomAttributeAuthorizationHandler : AuthorizationHandler<MyCustomAttribute>
{
    private readonly IApiSecurityRepository _repository;

    // 仅获取用户Claims无需IHttpContextAccessor，直接用context.User即可
    public MyCustomAttributeAuthorizationHandler(IApiSecurityRepository repository)
    {
        _repository = repository ?? throw new ArgumentNullException(nameof(repository));
    }

    protected override async Task HandleRequirementAsync(AuthorizationHandlerContext context, MyCustomAttribute requirement)
    {
        // 获取当前登录用户的核心标识（比如用户ID Claim）
        var userIdClaim = context.User.FindFirst(ClaimTypes.NameIdentifier);
        if (userIdClaim == null)
        {
            context.Fail();
            return;
        }

        // 调用仓储服务校验用户是否拥有对应customValue的权限
        bool hasPermission = await _repository.CheckUserPermissionAsync(userIdClaim.Value, requirement.MyCustomValue);
        if (hasPermission)
        {
            context.Succeed(requirement);
        }
        else
        {
            context.Fail();
        }
    }
}

3. 正确注册服务 #

只需注册授权处理器即可，无需额外添加授权策略：

// 在Program.cs中
builder.Services.AddScoped<IAuthorizationHandler, MyCustomAttributeAuthorizationHandler>();

// 确保已添加基础授权服务（默认模板已包含）
builder.Services.AddAuthorization();

4. 验证生效 #

直接在ApiController的端点方法上使用属性即可：

[HttpGet]
[MyCustomAttribute("ABCD")]
public async Task<ActionResult> SomeAction()
{
    // 业务逻辑
    return Ok();
}

关于授权策略的说明 #

当自定义属性同时实现IAuthorizationRequirement并继承AuthorizeAttribute时，ASP.NET Core会自动将该属性作为即时授权要求，请求到达端点时自动触发对应的AuthorizationHandler处理逻辑，无需提前定义命名策略。若后续需要复用相同授权逻辑到多个端点，再通过策略注册即可，当前场景直接使用属性完全满足需求。

内容的提问来源于stack exchange，提问作者barbrady