.NET Core Web API中如何实现动态权限DTO管理角色权限

问题背景 #

我需要创建一个管理用户角色权限的API，创建角色时请求需包含该角色关联的权限列表。当前实现的核心代码如下：

控制器Post端点 #

[HttpPost]
public async Task<ActionResult> SaveData([FromBody]RoleDto role)
{
    //Code to save Role
    return Ok(role);
}

RoleDto定义 #

public class RoleDto
{
    public string Name { get; set; }
    public Permissions Permissions { get; set; }
}

Permissions DTO定义 #

public class Permissions
{
    public bool AddUser { get; set; }
    public bool EditUser { get; set; }
    public bool DeleteUser { get; set; }
    public bool ReadUser { get; set; }
    public bool ManageLocations { get; set; }
    public bool ManageAssignment { get; set; }
}

现有权限共6项，未来会持续新增，希望无需修改代码就能动态维护Permissions DTO。目前所有可用权限已存储在主集合中：

{
        "PartitionKey": "Permission",
        "PermissionList": [
            "AddUser",
            "EditUser",
            "DeleteUser",
            "ReadUser",
            "ManageLocation",
            "ManageAssignment"
        ],
        "Type": "PermissionList",
    }

我曾考虑过用列表存储权限的替代方案：

public class Permissions
{
    public List<string> PermissionsList { get; set; }
}

但该方案存在明显问题：API客户端无法知晓可用权限的完整列表，必须额外暴露API来获取权限选项，想知道是否有更优的解决方案。

可行解决方案 #

方案1：使用字典替代固定属性DTO #

将Permissions改为Dictionary<string, bool>类型，既支持动态扩展权限，又能保持键值对的清晰结构：

public class RoleDto
{
    public string Name { get; set; }
    public Dictionary<string, bool> Permissions { get; set; }
}

• 核心优势：无需修改DTO代码，新增权限只需在主集合中添加条目即可；请求/响应中能直接展示每个权限的开关状态，语义明确。
• 补充优化：API启动时从主集合加载权限列表，在接口校验阶段过滤掉客户端传入的无效权限，避免脏数据入库。

方案2：字典结构+元数据接口（推荐） #

保留字典式权限结构，同时新增一个元数据接口返回所有可用权限列表，兼顾动态性与客户端易用性：

1. 调整后的RoleDto：

public class RoleDto
{
    public string Name { get; set; }
    public Dictionary<string, bool> Permissions { get; set; }
}

2. 新增权限元数据接口：

[HttpGet("permissions")]
public async Task<ActionResult<List<string>>> GetAvailablePermissions()
{
    // 从主集合读取并返回权限列表
    var permissionList = await _permissionRepository.GetPermissionList();
    return Ok(permissionList);
}

• 核心优势：客户端可以通过元数据接口获取最新的权限选项，同时用字典结构传递权限状态；后端可对传入权限做校验，确保数据有效性，完美平衡灵活性与安全性。

方案3：动态对象（不推荐） #

使用dynamic或ExpandoObject接收权限，虽然能实现动态性，但会丢失强类型校验，后端处理时需要额外的类型转换与校验逻辑，容易引发错误，不适合生产环境：

public class RoleDto
{
    public string Name { get; set; }
    public dynamic Permissions { get; set; }
}

方案4：代码生成（半动态） #

编写代码生成工具（如T4模板、自定义控制台程序），定期从主集合读取权限列表，自动生成Permissions DTO的代码：

• 核心优势：保留强类型的安全性，无需手动修改DTO代码。
• 不足：需要额外维护生成工具，新增权限后需运行工具并重新编译项目，灵活性稍弱。

总结 #

优先推荐方案2，它既解决了权限动态扩展的问题，又能让客户端获取完整的权限元数据，同时后端可以做权限校验，在灵活性、易用性和安全性之间达到最佳平衡。

内容的提问来源于stack exchange，提问作者Jyothish Bhaskaran