.NET Core C#：非控制器/页面的普通方法如何使用Authorize特性？

在ASP.NET Core的非控制器/页面类（比如应用层服务）里没法直接用[Authorize]特性，不过有几种实用的方式可以实现权限校验：

方案1：通过IHttpContextAccessor直接获取用户上下文校验 #

这是最直接的方式，核心是注入IHttpContextAccessor拿到当前请求的用户信息，然后手动校验角色或声明。

首先要在Program.cs中注册服务：

builder.Services.AddHttpContextAccessor();

然后在业务服务类中注入并使用：

public class OrderService
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public OrderService(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    public void ProcessOrder(int orderId)
    {
        // 校验用户是否拥有指定角色
        if (!_httpContextAccessor.HttpContext.User.IsInRole("Admin"))
        {
            throw new UnauthorizedAccessException("无权限执行此操作");
        }

        // 或者校验自定义权限声明
        var hasProcessPermission = _httpContextAccessor.HttpContext.User.HasClaim(c => 
            c.Type == "Permission" && c.Value == "Order.Process");
        if (!hasProcessPermission)
        {
            throw new UnauthorizedAccessException("无权限执行此操作");
        }

        // 执行核心业务逻辑
        // ...
    }
}

优缺点：实现简单，但校验逻辑和业务代码耦合度高，复用性差，适合简单场景。

方案2：封装独立的权限校验服务 #

把权限校验逻辑抽成单独的服务，解耦业务代码和校验逻辑，方便复用和维护。

先定义权限校验的接口和实现类：

public interface IPermissionChecker
{
    bool HasRole(string roleName);
    bool HasPermission(string permissionName);
}

public class PermissionChecker : IPermissionChecker
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public PermissionChecker(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    public bool HasRole(string roleName)
    {
        return _httpContextAccessor.HttpContext?.User.IsInRole(roleName) ?? false;
    }

    public bool HasPermission(string permissionName)
    {
        return _httpContextAccessor.HttpContext?.User.HasClaim(c => 
            c.Type == "Permission" && c.Value == permissionName) ?? false;
    }
}

在Program.cs中注册这个服务：

builder.Services.AddScoped<IPermissionChecker, PermissionChecker>();

然后在业务服务中注入使用：

public class OrderService
{
    private readonly IPermissionChecker _permissionChecker;

    public OrderService(IPermissionChecker permissionChecker)
    {
        _permissionChecker = permissionChecker;
    }

    public void ProcessOrder(int orderId)
    {
        if (!_permissionChecker.HasPermission("Order.Process"))
        {
            throw new UnauthorizedAccessException("无权限执行此操作");
        }

        // 执行核心业务逻辑
        // ...
    }
}

优缺点：解耦了校验逻辑，复用性强，适合多个服务需要权限校验的场景。

方案3：使用框架内置的IAuthorizationService（推荐） #

利用ASP.NET Core原生的授权服务，支持策略式授权，能和框架的整个授权体系统一，适合复杂的权限规则场景。

首先可以在Program.cs中定义自定义授权策略（可选，也可以直接用角色/声明校验）：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("CanProcessOrder", policy =>
        policy.RequireClaim("Permission", "Order.Process"));
});

然后在业务服务中注入IAuthorizationService和IHttpContextAccessor：

public class OrderService
{
    private readonly IAuthorizationService _authorizationService;
    private readonly IHttpContextAccessor _httpContextAccessor;

    public OrderService(IAuthorizationService authorizationService, 
                        IHttpContextAccessor httpContextAccessor)
    {
        _authorizationService = authorizationService;
        _httpContextAccessor = httpContextAccessor;
    }

    public async Task ProcessOrderAsync(int orderId)
    {
        var currentUser = _httpContextAccessor.HttpContext.User;
        var authResult = await _authorizationService.AuthorizeAsync(currentUser, "CanProcessOrder");

        if (!authResult.Succeeded)
        {
            throw new UnauthorizedAccessException("无权限执行此操作");
        }

        // 执行核心业务逻辑
        // ...
    }
}

优缺点：支持复杂授权规则（比如基于资源的授权），和框架原生授权体系兼容，扩展性强，推荐在中大型项目中使用。

注意事项 #

• 必须确保IHttpContextAccessor已注册，ASP.NET Core默认不会自动注册这个服务。
• 如果是后台任务（无HTTP请求上下文的场景），HttpContext会为null，需要额外处理（比如手动传递用户身份信息到服务方法）。
• 抛出UnauthorizedAccessException后，上层控制器可以捕获异常并返回403 Forbidden的HTTP状态码。

内容的提问来源于stack exchange，提问作者AMB