ASP.Net Core 7 WebAPI同一控制器多并发认证方案配置疑问

可以实现，核心思路是通过组合授权策略让系统尝试所有配置的认证方案，并验证对应的独立策略，只要其中一种满足即可允许访问。以下是具体实现步骤：

1. 注册所有认证方案 #

在Program.cs（或.NET Framework的Startup.cs）中，注册三种认证方案，无需设置默认认证方案（避免仅触发默认方案）：

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddControllers();

// 注册三种认证方案
builder.Services.AddAuthentication()
    // Basic认证（需引入Microsoft.AspNetCore.Authentication.Basic包）
    .AddBasic("BasicAuth", options =>
    {
        options.RequireSsl = true;
        options.Events = new BasicAuthenticationEvents
        {
            OnValidateCredentials = async context =>
            {
                // 自定义Basic认证逻辑：验证用户名密码并生成Claims
                var user = await ValidateBasicUser(context.UserName, context.Password);
                if (user != null)
                {
                    context.Principal = new ClaimsPrincipal(
                        new ClaimsIdentity(user.Claims, "BasicAuth"));
                    context.Success();
                }
            }
        };
    })
    // OAuth2.0采用JWT Bearer认证
    .AddJwtBearer("OAuth2", options =>
    {
        options.Authority = "https://your-oauth-provider.com";
        options.Audience = "your-api-resource-id";
        // 其他JWT验证配置（如签名密钥、过期校验等）
    })
    // 自定义认证方案
    .AddScheme<CustomAuthOptions, CustomAuthHandler>("CustomAuth", options =>
    {
        // 自定义认证的配置参数
        options.CustomValidationKey = builder.Configuration["CustomAuth:Key"];
    });

2. 配置独立授权策略+组合策略 #

为每种认证方案配置独立授权策略，再创建一个组合策略，用于判断是否满足任意一种认证+策略的组合：

builder.Services.AddAuthorization(options =>
{
    // Basic认证对应的授权策略（示例：要求用户拥有BasicUser角色）
    options.AddPolicy("BasicPolicy", policy =>
        policy.RequireClaim(ClaimTypes.Role, "BasicUser"));

    // OAuth2对应的授权策略（示例：要求用户拥有api:access权限范围）
    options.AddPolicy("OAuth2Policy", policy =>
        policy.RequireClaim("scope", "api:access"));

    // 自定义认证对应的授权策略（示例：要求存在特定自定义Claim）
    options.AddPolicy("CustomPolicy", policy =>
        policy.RequireAssertion(context =>
            context.User.HasClaim(c => c.Type == "CustomValid" && c.Value == "True")));

    // 组合策略：允许任意一种认证+对应策略通过
    options.AddPolicy("AnyAuthPolicy", policy =>
        policy.RequireAssertion(async context =>
        {
            // 检查Basic认证及对应策略
            var basicAuthResult = await context.AuthenticateAsync("BasicAuth");
            if (basicAuthResult.Succeeded)
            {
                var basicAuthZResult = await context.AuthorizeAsync(
                    basicAuthResult.Principal, "BasicPolicy");
                if (basicAuthZResult.Succeeded) return true;
            }

            // 检查OAuth2认证及对应策略
            var oAuth2Result = await context.AuthenticateAsync("OAuth2");
            if (oAuth2Result.Succeeded)
            {
                var oAuth2AuthZResult = await context.AuthorizeAsync(
                    oAuth2Result.Principal, "OAuth2Policy");
                if (oAuth2AuthZResult.Succeeded) return true;
            }

            // 检查自定义认证及对应策略
            var customAuthResult = await context.AuthenticateAsync("CustomAuth");
            if (customAuthResult.Succeeded)
            {
                var customAuthZResult = await context.AuthorizeAsync(
                    customAuthResult.Principal, "CustomPolicy");
                if (customAuthZResult.Succeeded) return true;
            }

            return false;
        }));
});

3. 绑定组合策略到端点 #

在控制器端点上直接使用组合策略，无需复制端点：

[ApiController]
[Route("api/[controller]")]
public class DataController : ControllerBase
{
    [HttpGet("sensitive")]
    [Authorize(Policy = "AnyAuthPolicy")]
    public IActionResult GetSensitiveData()
    {
        return Ok(new { Data = "This is protected content" });
    }
}

关键说明 #

• 为什么之前设置默认方案无效？因为设置DefaultAuthenticateScheme后，认证中间件只会自动尝试该默认方案，其他方案不会被触发。而组合策略通过显式调用AuthenticateAsync逐个尝试所有方案，确保每种认证方式都有机会被验证。
• 如果需要全局应用该组合策略（所有端点默认支持三种认证），可以将其设为默认授权策略：

  options.DefaultPolicy = options.GetPolicy("AnyAuthPolicy")!;
  

内容的提问来源于stack exchange，提问作者Steven Creaney