在.NET 8 Blazor AutoMode中创建自定义页面权限属性的方法

问题背景 #

项目基于.NET 8 Blazor Auto模式，希望通过自定义页面属性（类似@permissions "[userRead, userWrite]"）控制页面访问权限，但直接尝试自定义Attribute的方案未生效。

可行实现方案 #

1. 定义自定义权限特性 #

创建继承自Attribute的特性类，用于标记页面所需权限：

using System;

[AttributeUsage(AttributeTargets.Class, Inherited = true, AllowMultiple = false)]
public class PagePermissionsAttribute : Attribute
{
    public string[] RequiredPermissions { get; }

    // 用params参数简化权限传入
    public PagePermissionsAttribute(params string[] permissions)
    {
        RequiredPermissions = permissions;
    }
}

2. 在Blazor页面中应用特性 #

注意：Blazor Razor组件必须通过@attribute指令应用特性，不能直接用@特性名的写法。示例页面代码：

@page "/user/crud"
@attribute [PagePermissions("userRead", "userWrite")]

<h1>用户管理页面</h1>
<!-- 页面内容 -->

3. 实现权限验证服务 #

创建权限验证逻辑服务，判断当前用户是否具备指定权限：

public interface IPermissionService
{
    bool HasPermission(string permission);
    bool HasAllPermissions(IEnumerable<string> permissions);
}

public class PermissionService : IPermissionService
{
    // 替换为实际权限验证逻辑（如从用户Claims、数据库读取）
    public bool HasPermission(string permission)
    {
        // 示例：模拟当前用户拥有的权限
        var currentUserPermissions = new List<string> { "userRead", "userWrite" };
        return currentUserPermissions.Contains(permission);
    }

    public bool HasAllPermissions(IEnumerable<string> permissions)
    {
        return permissions.All(HasPermission);
    }
}

在Program.cs中注册服务：

builder.Services.AddScoped<IPermissionService>();

4. 全局导航拦截与权限校验 #

通过监听导航事件，在页面跳转前校验目标页面的权限要求。以MainLayout为例：

@inject NavigationManager NavManager
@inject IPermissionService PermissionService
@inject ILogger<MainLayout> Logger
@implements IDisposable

<!-- 布局内容 -->

@code {
    protected override void OnInitialized()
    {
        NavManager.LocationChanged += OnLocationChanged;
        base.OnInitialized();
    }

    private void OnLocationChanged(object? sender, LocationChangedEventArgs e)
    {
        // 获取目标页面的组件类型
        var routeData = NavManager.GetRouteData(e.Location);
        var pageType = routeData?.PageType;
        if (pageType == null) return;

        // 获取页面标记的权限特性
        var permissionAttr = pageType.GetCustomAttributes(typeof(PagePermissionsAttribute), inherit: true)
            .FirstOrDefault() as PagePermissionsAttribute;

        if (permissionAttr != null && !PermissionService.HasAllPermissions(permissionAttr.RequiredPermissions))
        {
            // 无权限时跳转至指定页面
            Logger.LogWarning("用户无权限访问页面: {Url}", e.Location);
            NavManager.NavigateTo("/access-denied", forceLoad: true);
        }
    }

    public void Dispose()
    {
        NavManager.LocationChanged -= OnLocationChanged;
    }
}

原方案无效的原因 #

1. 特性应用方式错误：Blazor Razor组件不能直接用@MyCustomAttribute语法应用特性，必须使用@attribute指令指定。
2. 缺少权限校验逻辑：仅定义特性而未实现导航拦截与权限验证逻辑，无法实际限制页面访问。

内容的提问来源于stack exchange，提问作者Marcello Cavazza