ASP.NET Web API权限控制优化：如何为LimitedAccessUser Scope仅开放指定接口且无需批量修改现有接口授权

这问题我之前帮同事处理过类似场景，完全不用给100多个端点挨个加授权规则，用全局默认授权策略搭配自定义授权策略就能轻松搞定，步骤很清晰：

1. 配置核心授权策略 #

在你的Program.cs（.NET 6+）或Startup.cs中，注册授权服务时定义两个关键策略：

builder.Services.AddAuthorization(options =>
{
    // 全局默认策略：要求用户必须持有"User" Scope
    options.DefaultPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .RequireClaim("scope", "User")
        .Build();

    // 自定义策略：允许持有"User" OR "LimitedAccessUser" Scope的用户访问
    options.AddPolicy("AllowLimitedOrFullAccess", policy =>
        policy.RequireAuthenticatedUser()
              .RequireClaim("scope", "User", "LimitedAccessUser"));
});

2. 启用全局授权中间件 #

确保Web API启用全局授权，这样所有端点默认都会应用上面的DefaultPolicy：

// 放在UseRouting之后，UseEndpoints之前
app.UseAuthorization();

3. 为目标端点配置自定义策略 #

找到那个允许LimitedAccessUser访问的端点，在对应的控制器或Action上指定自定义策略：

[ApiController]
[Route("api/[controller]")]
public class SpecialAccessController : ControllerBase
{
    // 这个端点同时对User和LimitedAccessUser开放
    [HttpGet("only-allowed-endpoint")]
    [Authorize(Policy = "AllowLimitedOrFullAccess")]
    public IActionResult GetRestrictedData()
    {
        return Ok("This endpoint is accessible to both User and LimitedAccessUser");
    }
}

为什么这个方案能解决你的问题？ #

• 现有端点零修改：全局默认策略会自动覆盖所有未指定自定义策略的端点，只有持有User Scope的用户能访问，LimitedAccessUser用户访问这些端点时会直接被拒绝（因为没有User Scope）。
• 目标端点灵活控制：自定义策略让目标端点同时对两种Scope开放，既满足LimitedAccessUser的访问需求，也不影响原有User用户的权限。
• 扩展性强：后续如果要新增其他受限Scope，只需要调整策略配置，不用批量修改端点代码。

额外提醒 #

• 确保Identity Server正确配置LimitedAccessUser Scope，并且只给对应的用户/客户端颁发该Scope的令牌。
• 如果有少数公开端点（无需授权），可以在这些端点上添加[AllowAnonymous]特性来覆盖全局策略。

内容的提问来源于stack exchange，提问作者Himal Patel