ASP.NET Core基于策略的授权失败时如何返回失败原因？

针对你使用ASP.NET Core基于声明的授权策略时，仅返回403无详细原因的问题，可以通过以下两种方式实现自定义失败响应：

方法1：自定义授权中间件结果处理器（推荐，ASP.NET Core 5+） #

通过实现IAuthorizationMiddlewareResultHandler，可以统一捕获授权失败的上下文，提取具体的缺失声明或无效声明信息，返回带详细内容的403响应。

首先创建自定义处理器类：

public class CustomAuthorizationResultHandler : IAuthorizationMiddlewareResultHandler
{
    private readonly AuthorizationMiddlewareResultHandler _defaultHandler = new();

    public async Task HandleAsync(RequestDelegate next, HttpContext context, AuthorizationPolicy policy, PolicyAuthorizationResult authorizeResult)
    {
        if (!authorizeResult.Succeeded)
        {
            var failureMessages = new List<string>();
            
            // 遍历策略中的所有Claim要求，检查未满足的项
            foreach (var requirement in policy.Requirements.OfType<ClaimsAuthorizationClaimTypeRequirement>())
            {
                var user = context.User;
                // 检查声明是否存在
                if (!user.HasClaim(c => c.Type == requirement.ClaimType))
                {
                    failureMessages.Add($"缺失必要声明: {requirement.ClaimType}");
                    continue;
                }

                // 检查声明值是否在允许范围内
                if (requirement.AllowedValues?.Any() == true)
                {
                    var userClaimValue = user.FindFirst(requirement.ClaimType)?.Value;
                    if (!requirement.AllowedValues.Contains(userClaimValue))
                    {
                        failureMessages.Add($"声明「{requirement.ClaimType}」的值无效，允许值: {string.Join(", ", requirement.AllowedValues)}");
                    }
                }
            }

            // 返回自定义403响应
            if (failureMessages.Any())
            {
                context.Response.StatusCode = StatusCodes.Status403Forbidden;
                context.Response.ContentType = "application/json";
                await context.Response.WriteAsJsonAsync(new
                {
                    StatusCode = 403,
                    Message = "授权失败",
                    Details = failureMessages
                });
                return;
            }
        }

        // 授权成功或无具体失败信息时，使用默认处理逻辑
        await _defaultHandler.HandleAsync(next, context, policy, authorizeResult);
    }
}

然后在依赖注入中注册这个处理器：

builder.Services.AddSingleton<IAuthorizationMiddlewareResultHandler, CustomAuthorizationResultHandler>();

方法2：自定义授权处理程序+中间件捕获 #

如果需要更精细的控制，可以为每个Claim要求创建自定义处理逻辑，通过HttpContext传递失败原因，再用中间件返回响应。

1. 创建自定义Claim要求处理程序：

public class CustomClaimRequirementHandler : AuthorizationHandler<ClaimsAuthorizationClaimTypeRequirement>
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public CustomClaimRequirementHandler(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, ClaimsAuthorizationClaimTypeRequirement requirement)
    {
        var httpContext = _httpContextAccessor.HttpContext;
        var user = context.User;

        // 检查声明是否存在
        if (!user.HasClaim(c => c.Type == requirement.ClaimType))
        {
            httpContext?.Items["AuthFailureReason"] = $"缺失必要声明: {requirement.ClaimType}";
            context.Fail();
            return Task.CompletedTask;
        }

        // 检查声明值有效性
        if (requirement.AllowedValues?.Any() == true)
        {
            var userValue = user.FindFirst(requirement.ClaimType)?.Value;
            if (!requirement.AllowedValues.Contains(userValue))
            {
                httpContext?.Items["AuthFailureReason"] = $"声明「{requirement.ClaimType}」的值无效，允许值: {string.Join(", ", requirement.AllowedValues)}";
                context.Fail();
                return Task.CompletedTask;
            }
        }

        context.Succeed(requirement);
        return Task.CompletedTask;
    }
}

2. 注册必要的服务：

builder.Services.AddHttpContextAccessor();
builder.Services.AddScoped<IAuthorizationHandler, CustomClaimRequirementHandler>();

3. 添加中间件捕获授权失败信息（注意要放在UseAuthorization之后）：

app.UseAuthorization();

// 捕获403响应并添加详细原因
app.Use(async (context, next) =>
{
    await next();

    if (context.Response.StatusCode == StatusCodes.Status403Forbidden && context.Items.ContainsKey("AuthFailureReason"))
    {
        context.Response.ContentType = "application/json";
        // 重置响应状态码（因为可能已被设置）
        context.Response.StatusCode = StatusCodes.Status403Forbidden;
        await context.Response.WriteAsJsonAsync(new
        {
            StatusCode = 403,
            Message = "授权失败",
            Details = context.Items["AuthFailureReason"].ToString()
        });
    }
});

注意事项 #

• 生产环境中需避免返回过于敏感的信息，比如内部角色的允许值列表，可根据业务需求调整返回内容的粒度。
• 方法1更适合统一处理所有授权策略的失败场景，代码更简洁；方法2适合针对特定策略做个性化失败提示。

内容的提问来源于stack exchange，提问作者Wim ten Brink