.NET 8中如何限制ASP.NET Core Identity注册接口仅管理员可访问

针对你用MapIdentityAPI自动生成接口无法直接加Authorize的问题，以下是三种实用的权限控制方案：

方案一：中间件拦截注册请求 #

在请求管道中添加自定义中间件，直接拦截注册接口的请求并验证用户角色，无需修改原有Identity逻辑：

// 中间件要放在MapIdentityAPI之前注册
app.Use(async (context, next) =>
{
    // 匹配默认注册端点路径（若自定义过路由则调整路径）
    if (context.Request.Path.StartsWithSegments("/register", StringComparison.OrdinalIgnoreCase))
    {
        // 验证用户是否已授权且属于Admin角色
        if (!context.User.Identity.IsAuthenticated || !context.User.IsInRole("Admin"))
        {
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            await context.Response.WriteAsync("仅管理员可访问此接口");
            return;
        }
    }
    await next();
});

// 保留原有IdentityAPI映射
app.MapIdentityApi<IdentityUser>();

方案二：自定义注册端点覆盖默认接口 #

禁用自动生成的注册接口，自己实现带角色授权的注册逻辑，灵活性最高：

1. 禁用默认注册端点

app.MapIdentityApi<IdentityUser>(options =>
{
    options.RegisterEndpointEnabled = false;
});

2. 编写自定义注册接口

[ApiController]
[Route("api/auth")]
public class CustomAuthController : ControllerBase
{
    private readonly UserManager<IdentityUser> _userManager;

    public CustomAuthController(UserManager<IdentityUser> userManager)
    {
        _userManager = userManager;
    }

    [HttpPost("register")]
    [Authorize(Roles = "Admin")]
    public async Task<IActionResult> AdminRegister([FromBody] RegisterDto request)
    {
        if (!ModelState.IsValid)
            return BadRequest(ModelState);

        var user = new IdentityUser { UserName = request.Email, Email = request.Email };
        var createResult = await _userManager.CreateAsync(user, request.Password);

        if (createResult.Succeeded)
            return Ok(new { Message = "用户注册成功" });

        return BadRequest(createResult.Errors.Select(e => e.Description));
    }
}

// 注册请求DTO
public class RegisterDto
{
    [Required]
    [EmailAddress]
    public string Email { get; set; }

    [Required]
    [DataType(DataType.Password)]
    public string Password { get; set; }
}

方案三：使用端点过滤器精准控制 #

给Identity的注册端点单独添加角色验证过滤器，不影响其他自动生成的接口：

1. 定义角色过滤器

public class AdminRoleFilter : IEndpointFilter
{
    public async ValueTask<object?> InvokeAsync(EndpointFilterInvocationContext context, EndpointFilterDelegate next)
    {
        var httpContext = context.HttpContext;
        if (!httpContext.User.Identity.IsAuthenticated || !httpContext.User.IsInRole("Admin"))
        {
            return Results.Forbid();
        }
        return await next(context);
    }
}

2. 给注册端点绑定过滤器

app.MapIdentityApi<IdentityUser>()
   .AddEndpointFilter<AdminRoleFilter>()
   // 仅对注册端点应用过滤器
   .Where(endpoint => endpoint.DisplayName?.Contains("Register") ?? false);

前置注意事项 #

• 确保已启用角色服务：builder.Services.AddRoles<IdentityRole>();，并完成包含角色表的数据库迁移
• 提前创建管理员用户并分配Admin角色（可通过种子数据或手动操作数据库实现）
• 配置Swagger支持身份验证，方便测试时携带管理员Token

内容的提问来源于stack exchange，提问作者Sam