.NET Core如何让Admin角色全局拥有权限，无需逐个配置API授权

方案一：自定义授权策略，让Admin自动拥有所有权限 #

通过自定义授权要求和处理程序，实现Admin角色无需在每个API的[Authorize]特性中显式声明即可获得权限。

1. 定义自定义授权要求

public class AdminHasAllPermissionsRequirement : IAuthorizationRequirement
{
    // 无需额外属性，仅作为标识
}

2. 实现授权处理逻辑

public class AdminHasAllPermissionsHandler : AuthorizationHandler<AdminHasAllPermissionsRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, AdminHasAllPermissionsRequirement requirement)
    {
        // 校验用户是否为Admin角色，是则通过授权
        if (context.User.IsInRole("Admin"))
        {
            context.Succeed(requirement);
        }
        return Task.CompletedTask;
    }
}

3. 注册授权服务与策略
   在Program.cs（.NET 6+）中配置：

// 注册授权策略
builder.Services.AddAuthorization(options =>
{
    // 定义策略：Admin直接通过，或拥有指定角色
    options.AddPolicy("AdminOrSpecificRoles", policy =>
    {
        policy.Requirements.Add(new AdminHasAllPermissionsRequirement());
        policy.RequireRole("GlobalEditor", "RegionalEditor");
    });

    // 可选：设置默认授权策略，这样所有[Authorize]都会自动应用该规则
    options.DefaultPolicy = new AuthorizationPolicyBuilder()
        .AddRequirements(new AdminHasAllPermissionsRequirement())
        .RequireRole("GlobalEditor", "RegionalEditor")
        .Build();
});

// 注册自定义授权处理程序
builder.Services.AddScoped<IAuthorizationHandler, AdminHasAllPermissionsHandler>();

4. 在API中使用
   如果用自定义策略：

[Authorize(Policy = "AdminOrSpecificRoles")]
[HttpGet]
public IActionResult GetData()
{
    // ...
}

如果设置了默认策略，直接用[Authorize]即可，无需额外参数。

方案二：实现角色层级，让顶级角色自动继承下级权限 #

如果需要更灵活的角色层级（比如Admin包含GlobalEditor权限，GlobalEditor包含RegionalEditor权限），可以通过两种方式实现：

方式1：声明转换，登录时自动添加下级角色声明 #

在用户登录后，自动为上级角色用户添加下级角色的声明，这样原有基于角色的授权规则无需修改即可生效。

public class RoleHierarchyClaimsTransformation : IClaimsTransformation
{
    public Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        var claimsIdentity = principal.Identity as ClaimsIdentity;
        if (claimsIdentity == null) return Task.FromResult(principal);

        // 定义角色层级映射
        var roleHierarchy = new Dictionary<string, List<string>>
        {
            {"Admin", new List<string> {"GlobalEditor", "RegionalEditor"}},
            {"GlobalEditor", new List<string> {"RegionalEditor"}}
        };

        // 获取用户当前所有角色
        var userRoles = claimsIdentity.FindAll(ClaimTypes.Role).Select(c => c.Value).ToList();
        var additionalRoles = new List<string>();

        // 遍历用户角色，收集所有下级角色
        foreach (var role in userRoles)
        {
            if (roleHierarchy.TryGetValue(role, out var childRoles))
            {
                additionalRoles.AddRange(childRoles);
            }
        }

        // 添加不重复的下级角色声明
        foreach (var role in additionalRoles.Distinct())
        {
            claimsIdentity.AddClaim(new Claim(ClaimTypes.Role, role));
        }

        return Task.FromResult(principal);
    }
}

注册声明转换服务：

builder.Services.AddScoped<IClaimsTransformation, RoleHierarchyClaimsTransformation>();

之后Admin用户访问标注[Authorize(Roles = "GlobalEditor")]的API时，会自动通过授权。

方式2：自定义层级授权处理程序 #

通过自定义授权要求和处理逻辑，直接校验用户是否拥有目标角色或其上级角色。

1. 定义层级授权要求

public class RoleHierarchyRequirement : IAuthorizationRequirement
{
    public string RequiredRole { get; }

    public RoleHierarchyRequirement(string requiredRole)
    {
        RequiredRole = requiredRole;
    }
}

2. 实现层级授权处理

public class RoleHierarchyHandler : AuthorizationHandler<RoleHierarchyRequirement>
{
    // 定义角色层级关系
    private readonly Dictionary<string, List<string>> _roleHierarchy = new()
    {
        {"Admin", new List<string> {"GlobalEditor", "RegionalEditor"}},
        {"GlobalEditor", new List<string> {"RegionalEditor"}}
    };

    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, RoleHierarchyRequirement requirement)
    {
        var userRoles = context.User.FindAll(ClaimTypes.Role).Select(c => c.Value).ToList();
        
        // 校验：用户直接拥有所需角色，或拥有包含该角色的上级角色
        if (userRoles.Contains(requirement.RequiredRole) 
            || userRoles.Any(r => _roleHierarchy.TryGetValue(r, out var children) && children.Contains(requirement.RequiredRole)))
        {
            context.Succeed(requirement);
        }
        return Task.CompletedTask;
    }
}

3. 注册服务与策略

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("RequireRegionalEditor", policy =>
        policy.Requirements.Add(new RoleHierarchyRequirement("RegionalEditor")));
    options.AddPolicy("RequireGlobalEditor", policy =>
        policy.Requirements.Add(new RoleHierarchyRequirement("GlobalEditor")));
});

builder.Services.AddScoped<IAuthorizationHandler, RoleHierarchyHandler>();

4. 在API中使用

[Authorize(Policy = "RequireRegionalEditor")]
[HttpGet]
public IActionResult GetRegionalData()
{
    // ...
}

此时Admin、GlobalEditor、RegionalEditor用户都能访问该接口。

内容的提问来源于stack exchange，提问作者Pawan Nogariya