Blazor Server无EF环境下基于策略的授权实现指引

核心原理 #

ASP.NET Core的基于策略授权，是把授权逻辑拆分为策略（Policy）、需求（Requirement）、处理器（Handler）、**策略提供者（PolicyProvider）**四个核心部分，完全适配你这种「组关联策略、用户通过所属组获取权限」的场景。

各组件角色与协作逻辑 #

先明确你关心的核心问题：

• AuthorizationHandler就是负责查询数据库并返回授权结果的核心执行单元：当用户触发授权检查时，Handler会获取当前用户的身份信息，通过你的数据库查询逻辑拿到用户所属的组，再核对这些组是否绑定了目标策略（比如CreateInvoices），最终告知系统授权是否通过。
• AuthorizationPolicyProvider是可注入的框架级组件：它的作用是根据策略名称（比如"CreateInvoices"），动态构建包含对应Requirement的Policy实例。简单来说，当系统需要检查某个策略时，会向Provider请求对应的规则包，Provider返回的规则包里携带了关联的Requirement，进而触发对应的Handler执行授权逻辑。

其他组件的作用：

• AuthorizationRequirement：本质是一个「规则标识」，给每个发票CRUD操作单独创建一个Requirement类（比如CreateInvoicesRequirement）即可，无需添加额外逻辑，仅用于将策略与对应的Handler绑定。

实现方向 #

• 定义需求类：为CreateInvoices、ReadInvoices、UpdateInvoices、DeleteInvoices分别创建独立的Requirement类，作为授权逻辑的标记。
• 编写策略处理器：
  • 继承AuthorizationHandler<TRequirement>（TRequirement为你定义的需求类）
  • 在HandleRequirementAsync方法中实现授权逻辑：获取当前用户ID→查询用户所属组→检查组是否拥有对应策略权限→有权限则调用context.Succeed(requirement)，无权限直接返回即可。
• 自定义策略提供者：
  • 实现IAuthorizationPolicyProvider接口
  • 在GetPolicyAsync方法中，根据传入的策略名称，创建包含对应Requirement的Policy对象并返回。
• 注册服务：在Program.cs中将自定义的Handler和PolicyProvider注册为服务，若需要全局使用自定义Provider，需替换默认的策略提供者。
• 执行授权检查：在Blazor组件上使用[Authorize(Policy = "CreateInvoices")]特性，或通过IAuthorizationService在代码中手动触发授权检查。

关键注意事项 #

• 由于未使用EF，Handler中直接调用你自己的数据库访问逻辑即可，无需依赖EF的DbContext。
• 策略名称需与Requirement、Handler严格对应，避免匹配错误。
• 可考虑缓存组与策略的关联数据，减少数据库查询次数，提升授权检查性能。

内容的提问来源于stack exchange，提问作者El Hippo