Dotnet+ABP Framework中Scope权限配置及角色权限对比咨询

1. Scope权限配置（admin/mobile客户端场景） #

要实现不同客户端基于Scope拥有对应权限，按以下步骤操作：

1. 定义基础权限：在自定义的PermissionDefinitionProvider中声明所需权限，并绑定到对应Scope：

public class MyAppPermissionDefinitionProvider : PermissionDefinitionProvider
{
    public override void Define(IPermissionDefinitionContext context)
    {
        var appGroup = context.AddGroup("MyApp");

        // Permission1绑定admin和mobile两个Scope
        appGroup.AddPermission("Permission1")
            .WithClientScope("scope_admin")
            .WithClientScope("scope_mobile");

        // Permission2仅绑定admin Scope
        appGroup.AddPermission("Permission2")
            .WithClientScope("scope_admin");

        // Permission3仅绑定admin Scope
        appGroup.AddPermission("Permission3")
            .WithClientScope("scope_admin");

        // Permission4绑定admin和mobile两个Scope
        appGroup.AddPermission("Permission4")
            .WithClientScope("scope_admin")
            .WithClientScope("scope_mobile");
    }
}

2. 配置客户端Scope：在IdentityServer的客户端配置中，给admin和mobile客户端分配对应的Scope：

public static IEnumerable<Client> GetClients()
{
    return new List<Client>
    {
        new Client
        {
            ClientId = "admin_client",
            ClientSecrets = { new Secret("admin_secret".Sha256()) },
            AllowedGrantTypes = GrantTypes.ResourceOwnerPassword,
            AllowedScopes = { "scope_admin", "openid", "profile" },
            AllowOfflineAccess = true
        },
        new Client
        {
            ClientId = "mobile_client",
            ClientSecrets = { new Secret("mobile_secret".Sha256()) },
            AllowedGrantTypes = GrantTypes.ResourceOwnerPassword,
            AllowedScopes = { "scope_mobile", "openid", "profile" },
            AllowOfflineAccess = true
        }
    };
}

3. 配置ApiScope：确保IdentityServer中注册了对应的ApiScope：

public static IEnumerable<ApiScope> GetApiScopes()
{
    return new List<ApiScope>
    {
        new ApiScope("scope_admin"),
        new ApiScope("scope_mobile")
    };
}

2. 新增Scope并关联权限，登录返回对应权限 #

新增Scope并关联权限 #

1. 添加新ApiScope：在IdentityServer的ApiScope配置中新增目标Scope，比如scope_tenant：

public static IEnumerable<ApiScope> GetApiScopes()
{
    return new List<ApiScope>
    {
        new ApiScope("scope_admin"),
        new ApiScope("scope_mobile"),
        new ApiScope("scope_tenant") // 新增Scope
    };
}

2. 关联权限到新Scope：回到PermissionDefinitionProvider，给需要的权限绑定新Scope：

// 示例：给Permission1和Permission3绑定scope_tenant
var permission1 = appGroup.AddPermission("Permission1")
    .WithClientScope("scope_admin")
    .WithClientScope("scope_mobile")
    .WithClientScope("scope_tenant");

var permission3 = appGroup.AddPermission("Permission3")
    .WithClientScope("scope_admin")
    .WithClientScope("scope_tenant");

3. 配置对应客户端：如果有需要使用该Scope的客户端，在其AllowedScopes中添加scope_tenant。

登录时返回对应权限 #

ABP框架默认会根据当前客户端的Scope自动过滤权限，用户登录后只会拿到当前客户端Scope关联的权限。如果需要手动控制权限Claims的生成，可以自定义ProfileService：

public class CustomProfileService : IProfileService
{
    private readonly IPermissionChecker _permissionChecker;

    public CustomProfileService(IPermissionChecker permissionChecker)
    {
        _permissionChecker = permissionChecker;
    }

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        var userId = context.Subject.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        if (string.IsNullOrEmpty(userId)) return;

        // 获取用户所有拥有的权限
        var userPermissions = await _permissionChecker.GetGrantedPermissionsAsync(Guid.Parse(userId));
        
        // 获取当前客户端的Scope集合
        var clientScopes = context.Client.AllowedScopes;
        
        // 筛选出与客户端Scope匹配的权限
        var filteredPermissions = userPermissions.Where(p => 
            p.Definition.ClientScopes.Intersect(clientScopes).Any()
        ).Select(p => p.Name).ToList();

        // 添加权限Claims到Token中
        context.IssuedClaims.AddRange(filteredPermissions.Select(p => new Claim("permission", p)));
    }

    public Task IsActiveAsync(IsActiveContext context)
    {
        context.IsActive = true;
        return Task.CompletedTask;
    }
}

记得在模块类中注册这个自定义ProfileService：

public override void ConfigureServices(ServiceConfigurationContext context)
{
    context.Services.AddTransient<IProfileService, CustomProfileService>();
}

3. 角色权限与Scope权限的区别 #

• 作用对象不同：角色权限是针对用户/用户组的，给角色分配权限后，所有归属该角色的用户都会继承这些权限；Scope权限是针对客户端应用的，和用户身份无关，只要用指定客户端登录，就只能获取该Scope关联的权限。
• 生效逻辑不同：最终用户能访问的权限是角色权限与Scope权限的交集——用户自身拥有的角色权限中，同时被当前客户端Scope关联的部分才会生效。比如用户是管理员（拥有所有权限），但用mobile客户端登录，只能拿到scope_mobile关联的权限1和4。
• 使用场景不同：角色权限用于区分不同用户的权限等级（如超级管理员、普通员工）；Scope权限用于限制不同客户端的权限范围（如后台管理端开放全权限，移动端仅开放基础操作权限）。

内容的提问来源于stack exchange，提问作者ali hassan