ASP.NET Core Razor中文件夹页面与其余目录的权限差异化配置问题

完全可以通过 scaffolding 生成ChangePassword页面的后台代码，并在模型类上添加[Authorize]特性来实现你的需求，这反而比用Conventions配置更直观，也能避免目录策略覆盖的问题。

具体步骤： #

1. 生成ChangePassword页面的代码文件
   在项目上右键 → 添加 → 新搭建的基架项 → 选择「Identity」 → 勾选「Account/Manage/ChangePassword」，完成后会在Areas/Identity/Pages/Account/Manage目录下生成ChangePassword.cshtml和ChangePassword.cshtml.cs文件。

2. 修改页面模型的授权特性
   打开生成的ChangePassword.cshtml.cs，在ChangePasswordModel类上方添加[Authorize]特性（默认可能已有，但要确保没有附加Admin策略）：

   [Authorize]
   public class ChangePasswordModel : PageModel
   {
       // 原有代码...
   }
   

   这个页面级的授权声明优先级高于目录级的Conventions配置，不会被Account/Manage目录的Admin策略覆盖。

3. 保留目录级的Admin策略配置
   在Program.cs里继续给Account/Manage目录配置Admin策略，不需要再单独为ChangePassword页面做Conventions设置：

   builder.Services.AddRazorPages(options =>
   {
       // 给Manage目录下除ChangePassword外的页面强制Admin权限
       options.Conventions.AuthorizeFolder("/Account/Manage", "Admin");
   });
   

为什么之前的Conventions方式失效？ #

当你先配置单个页面授权、再配置目录策略时，目录级的Conventions规则会覆盖单个页面的配置——哪怕调整顺序，路由匹配的优先级逻辑也可能让目录规则生效。而页面模型上的[Authorize]特性属于更具体的页面级授权，优先级更高，所以能绕过目录的Admin策略限制。

额外注意点 #

• Identity默认的ChangePassword页面已经会验证操作的是当前登录用户，如果你需要更严格的校验，可以在OnPostAsync方法里通过UserManager确认当前用户UserId与操作对象一致。
• 确保你已经正确定义了Admin策略，比如要求用户属于Admin角色：

  builder.Services.AddAuthorization(options =>
  {
      options.AddPolicy("Admin", policy => policy.RequireRole("Admin"));
  });
  

内容的提问来源于stack exchange，提问作者Greg L.