能否在.NET Core 6+ Web API中实现运行时动态角色的RBAC认证？

一、核心结论 #

完全可以基于[Authorize]特性实现这类动态权限校验（即权限依赖请求参数才能确定的场景），核心是通过自定义授权需求和处理程序，在请求执行阶段实时获取请求参数、结合用户权限数据完成校验。

二、具体实现步骤 #

1. 定义自定义授权需求 #

创建需求类，用来传递要校验的基础权限标识和请求参数名：

public class DynamicPermissionRequirement : IAuthorizationRequirement
{
    // 基础权限码（比如"EarningsReport"）
    public string BasePermission { get; }
    // 请求中用来判断资源范围的参数名（比如"location"）
    public string ResourceParamName { get; }

    public DynamicPermissionRequirement(string basePermission, string resourceParamName)
    {
        BasePermission = basePermission;
        ResourceParamName = resourceParamName;
    }
}

2. 编写授权处理程序 #

实现AuthorizationHandler子类，在方法内完成动态校验逻辑：

public class DynamicPermissionHandler : AuthorizationHandler<DynamicPermissionRequirement>
{
    private readonly IHttpContextAccessor _httpContextAccessor;
    // 注入权限服务（负责从数据库/缓存获取用户权限）
    private readonly IPermissionService _permissionService;

    public DynamicPermissionHandler(IHttpContextAccessor httpContextAccessor, IPermissionService permissionService)
    {
        _httpContextAccessor = httpContextAccessor;
        _permissionService = permissionService;
    }

    protected override async Task HandleRequirementAsync(AuthorizationHandlerContext context, DynamicPermissionRequirement requirement)
    {
        var httpContext = _httpContextAccessor.HttpContext;
        if (httpContext == null)
        {
            context.Fail();
            return;
        }

        // 1. 获取当前用户ID
        var userId = context.User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        if (string.IsNullOrEmpty(userId))
        {
            context.Fail();
            return;
        }

        // 2. 校验用户是否拥有基础报表权限
        bool hasBasePerm = await _permissionService.HasBasePermissionAsync(userId, requirement.BasePermission);
        if (!hasBasePerm)
        {
            context.Fail();
            return;
        }

        // 3. 获取请求中的location参数
        string? location = httpContext.Request.Query[requirement.ResourceParamName].FirstOrDefault();
        if (string.IsNullOrEmpty(location))
        {
            // 业务自定义：无参数时是允许全部还是拒绝，这里示例为拒绝
            context.Fail();
            return;
        }

        // 4. 校验用户是否拥有该location的访问权限
        bool hasLocationAccess = await _permissionService.HasLocationAccessAsync(userId, requirement.BasePermission, location);
        if (hasLocationAccess)
        {
            context.Succeed(requirement);
        }
        else
        {
            context.Fail();
        }
    }
}

3. 注册授权服务 #

在Program.cs中配置授权策略和服务：

builder.Services.AddHttpContextAccessor();
builder.Services.AddScoped<IPermissionService, PermissionService>();

// 注册授权策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("EarningsReportPolicy", policy =>
        policy.Requirements.Add(new DynamicPermissionRequirement("EarningsReport", "location")));
});

// 注册授权处理程序
builder.Services.AddScoped<IAuthorizationHandler, DynamicPermissionHandler>();

4. 控制器上应用策略 #

直接用[Authorize]指定策略名即可：

[ApiController]
[Route("api/reports")]
public class ReportsController : ControllerBase
{
    [HttpGet("earnings")]
    [Authorize(Policy = "EarningsReportPolicy")]
    public IActionResult GetEarnings([FromQuery] string location)
    {
        // 业务逻辑
        return Ok(new { Location = location, Data = "Earnings data" });
    }
}

三、多级权限场景的适配 #

如果是多级权限（比如用户只能访问"华东区"下的所有地点，请求的location属于该区域则允许），不需要修改授权处理程序的核心逻辑，只需要在IPermissionService的权限校验方法中实现层级判断：

public async Task<bool> HasLocationAccessAsync(string userId, string basePermission, string location)
{
    // 1. 获取用户拥有的区域权限
    var userRegions = await _dbContext.UserPermissions
        .Where(u => u.UserId == userId && u.PermissionCode == basePermission)
        .Select(u => u.RegionCode)
        .ToListAsync();

    // 2. 查询请求location所属的区域
    var locationRegion = await _dbContext.LocationRegionMaps
        .Where(l => l.LocationCode == location)
        .Select(l => l.RegionCode)
        .FirstOrDefaultAsync();

    // 3. 判断用户的区域权限是否覆盖该location的所属区域
    return userRegions.Contains(locationRegion);
}

通过这种方式，不管是层级权限还是单级权限，都能通过权限服务的业务逻辑适配，授权处理程序无需改动。

四、实用优化建议 #

• 权限缓存：将用户的权限范围缓存到内存或Redis中，避免每次请求都查询数据库，提升性能。
• 支持路由参数：如果资源参数在路由中（比如/api/reports/earnings/{location}），可以通过httpContext.Request.RouteValues[requirement.ResourceParamName]获取参数值。
• 自定义特性简化代码：封装自定义特性（比如[DynamicAuthorize(BasePermission = "EarningsReport", ResourceParam = "location")]），内部自动绑定授权策略，减少重复配置。

内容的提问来源于stack exchange，提问作者person0