.NET 7 Minimal API身份鉴权：数据访问控制方案是否合理？

我正在参考教程搭建.NET 7 Minimal API的身份认证与授权机制，这是我首次进行此类开发。我需要确保已登录用户仅能访问自身关联的数据库数据（仅Admin角色可访问所有用户数据），想验证下述实现方案是否正确，是否存在更优雅的实现方式？

示例场景：登录用户（昵称test123）仅能查看自身信息，仅Admin角色可查看所有用户信息，实现代码如下：

app.MapGet("/users/{nickname}", (string nickname, ClaimsPrincipal user, IUserData userData) =>
{
    if (user?.Identity?.Name == nickname ||
        user?.IsInRole("Admin") ?? false)
    {
        try
        {
            return Results.Ok(await userData.GetUserByNickname());
        }
        catch(Exception ex)
        {
            return Results.Problem(ex.Message);
        }
    }
    
    return Results.Unauthorized();
});

方案正确性验证 #

你的实现逻辑上是正确的：

• 核心判断覆盖了两种合法访问场景：登录用户查看自身数据、Admin角色用户查看任意数据
• 权限校验不通过返回Unauthorized，异常场景返回Problem，符合API响应规范

但存在几个可优化的细节：

1. 空值处理冗余：user?.IsInRole("Admin") ?? false可简化为user.IsInRole("Admin")（未登录用户调用该方法会直接返回false）；user?.Identity?.Name的空值判断已足够，无需额外冗余处理
2. 业务与权限逻辑耦合：权限判断直接写在接口方法内，多接口复用会导致代码重复，维护成本高
3. 异常处理不严谨：捕获所有异常并返回原始消息，可能泄露敏感信息，建议区分业务异常和通用异常

更优雅的实现方式 #

1. 自定义授权策略 #

利用.NET内置授权系统，将权限逻辑封装为可复用的策略：

先注册授权策略：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("OwnDataOrAdmin", policy =>
        policy.RequireAssertion(context =>
        {
            var nickname = context.HttpContext.GetRouteValue("nickname")?.ToString();
            return context.User.Identity?.Name == nickname || context.User.IsInRole("Admin");
        }));
});

接口中直接应用策略，保持业务逻辑简洁：

app.MapGet("/users/{nickname}", async (string nickname, IUserData userData) =>
{
    try
    {
        var user = await userData.GetUserByNickname(nickname);
        return user is not null ? Results.Ok(user) : Results.NotFound();
    }
    catch (BusinessException ex) // 仅捕获预期业务异常
    {
        return Results.BadRequest(ex.Message);
    }
    catch
    {
        return Results.Problem("服务器内部错误", statusCode: 500);
    }
}).RequireAuthorization("OwnDataOrAdmin");

2. 端点过滤器（Endpoint Filter） #

针对Minimal API，用过滤器统一处理权限校验，隔离权限逻辑与业务逻辑：

var ownDataOrAdminFilter = new EndpointFilterDelegate(async (context, next) =>
{
    var nickname = context.GetRouteValue("nickname")?.ToString();
    var user = context.HttpContext.User;
    
    if (user.Identity?.Name != nickname && !user.IsInRole("Admin"))
    {
        return Results.Unauthorized();
    }
    
    return await next(context);
});

app.MapGet("/users/{nickname}", async (string nickname, IUserData userData) =>
{
    try
    {
        var user = await userData.GetUserByNickname(nickname);
        return user is not null ? Results.Ok(user) : Results.NotFound();
    }
    catch (BusinessException ex)
    {
        return Results.BadRequest(ex.Message);
    }
    catch
    {
        return Results.Problem("服务器内部错误", statusCode: 500);
    }
}).AddEndpointFilter(ownDataOrAdminFilter);

3. 简化空值与异常处理 #

优化原代码的冗余判断和异常返回：

// 简化权限判断
if (user.Identity?.Name != nickname && !user.IsInRole("Admin"))
{
    return Results.Unauthorized();
}

// 优化异常处理
try
{
    var user = await userData.GetUserByNickname(nickname);
    return user is not null ? Results.Ok(user) : Results.NotFound();
}
catch (BusinessException ex)
{
    return Results.BadRequest(ex.Message);
}
catch
{
    return Results.Problem("服务器内部错误", statusCode: 500);
}

内容的提问来源于stack exchange，提问作者Michal Lyga