.NET Core中能否为GraphQL与REST接口分离认证方案？

完全可以在同一.NET Core服务中为GraphQL和REST端点配置独立的认证逻辑与授权策略，利用.NET Core的多认证方案和灵活的授权机制即可实现，具体步骤如下：

1. 注册多种自定义认证方案 #

在Program.cs中分别注册REST和GraphQL的自定义认证方案，为每个方案指定唯一名称：

// 注册REST的自定义认证方案
services.AddAuthentication()
    .AddScheme<RestAuthOptions, RestAuthHandler>("RestAuth", options =>
    {
        // 配置REST认证的自定义参数
        options.RestSpecificSetting = "xxx";
    })
    // 注册GraphQL的自定义认证方案
    .AddScheme<GraphQLAuthOptions, GraphQLAuthHandler>("GraphQLAuth", options =>
    {
        // 配置GraphQL认证的自定义参数
        options.GraphQLSpecificSetting = "yyy";
    });

其中RestAuthOptions/RestAuthHandler是你已实现的REST自定义认证逻辑，GraphQLAuthOptions/GraphQLAuthHandler是为GraphQL新增的自定义认证逻辑。

2. 定义独立的授权策略 #

为REST和GraphQL分别创建专属的授权策略，区分不同的访问规则：

services.AddAuthorization(options =>
{
    // REST的授权策略
    options.AddPolicy("RestDefaultPolicy", policy =>
    {
        policy.RequireRole("RestApiUser");
        // 可添加更多REST专属的授权规则，比如声明检查、自定义断言等
    });

    // GraphQL的授权策略
    options.AddPolicy("GraphQLCustomPolicy", policy =>
    {
        policy.RequireClaim("GraphQLAccess", "Allowed");
        policy.RequireAssertion(context =>
        {
            // 自定义GraphQL专属的授权判断逻辑
            return context.User.HasClaim(c => c.Type == "GraphQLScope" && c.Value == "FullAccess");
        });
    });
});

3. 为端点绑定对应的认证与策略 #

方式一：控制器/路由级别的局部配置 #

• REST控制器直接标注专属的认证方案和策略：

  [Authorize(AuthenticationSchemes = "RestAuth", Policy = "RestDefaultPolicy")]
  [ApiController]
  [Route("api/[controller]")]
  public class RestBaseController : ControllerBase
  {
      // REST接口逻辑
  }
  

• GraphQL端点在映射时单独指定认证方案和策略：

  app.MapGraphQL("/graphql")
     .RequireAuthorization(options =>
     {
         options.AuthenticationSchemes = new[] { "GraphQLAuth" };
         options.Policy = "GraphQLCustomPolicy";
     });
  

方式二：全局默认+局部覆盖 #

如果REST是服务的主要端点，可以设置全局默认认证和策略，再为GraphQL端点单独覆盖：

// 设置全局默认认证方案为REST的方案
app.UseAuthentication();
app.UseAuthorization();

// REST控制器全局绑定默认策略
app.MapControllers().RequireAuthorization("RestDefaultPolicy");

// GraphQL端点单独指定认证方案和策略
app.MapGraphQL("/graphql")
   .RequireAuthorization(options =>
   {
       options.AuthenticationSchemes = new[] { "GraphQLAuth" };
       options.Policy = "GraphQLCustomPolicy";
   });

核心思路是利用.NET Core认证系统的多方案支持，让不同端点使用不同的认证处理器，再通过独立授权策略管控各自的访问规则，完全实现两者的认证架构分离。

内容的提问来源于stack exchange，提问作者dr11