AuthorizationPolicy vs AuthorizationFilter：动态年龄授权方案选型咨询

1. 为每个年龄硬编码对应的AuthorizationPolicy是否合理？ #

完全不合理。硬编码每个年龄对应的政策会造成大量代码冗余，比如21岁、25岁、35岁这类不同门槛都要重复编写几乎一致的政策逻辑。后续新增年龄规则时还要重复造轮子，维护成本极高，完全违反了DRY（Don't Repeat Yourself）原则。

2. 搭建大量自定义基础设施来支持新的自定义授权政策是否可行？ #

可行但毫无必要。自定义基础设施虽然能实现需求，但会大幅增加系统复杂度，需要额外维护一套独立的授权规则体系。不如直接基于ASP.NET Core自带的授权框架扩展，既避免重复造轮子，也能和现有系统的授权流程无缝整合。

3. AgeAuthorizationAttribute是否可行？是否推荐？有没有更简便的AuthorizationPolicy实现方式？优先选AuthorizationPolicy的理由是什么？ #

关于AgeAuthorizationAttribute的可行性与推荐性 #

这个特性技术上可行，但不推荐使用。它能直接完成年龄校验的需求，但存在明显短板：

• 无法与ASP.NET Core原生的授权系统（如基于政策的授权）集成，不能复用现有授权上下文、角色/声明的逻辑
• 耦合度高，直接依赖AuthorizationFilterContext，难以进行单元测试
• 无法灵活组合其他授权规则（比如同时要求年龄达标+具备管理员角色）

更简便的AuthorizationPolicy实现方式 #

可以通过「可参数化的授权要求+通用处理程序」来实现，一次编写即可支持所有年龄门槛：

1. 定义年龄授权要求

public class MinimumAgeRequirement : IAuthorizationRequirement
{
    public int MinimumAge { get; }

    public MinimumAgeRequirement(int minimumAge)
    {
        MinimumAge = minimumAge;
    }
}

2. 实现通用授权处理程序

public class MinimumAgeHandler : AuthorizationHandler<MinimumAgeRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, MinimumAgeRequirement requirement)
    {
        // 从用户声明中获取出生日期（示例逻辑，可根据实际存储调整）
        if (!context.User.HasClaim(c => c.Type == ClaimTypes.DateOfBirth))
        {
            return Task.CompletedTask;
        }

        var dateOfBirth = DateTime.Parse(context.User.FindFirstValue(ClaimTypes.DateOfBirth));
        var age = DateTime.Today.Year - dateOfBirth.Year;
        // 修正未过当年生日的情况
        if (dateOfBirth > DateTime.Today.AddYears(-age)) age--;

        if (age >= requirement.MinimumAge)
        {
            context.Succeed(requirement);
        }

        return Task.CompletedTask;
    }
}

3. 注册授权服务

// 在Program.cs/Startup.cs中
builder.Services.AddAuthorization(options =>
{
    // 预定义常用政策，也可后续动态添加
    options.AddPolicy("MinimumAge21", policy =>
        policy.Requirements.Add(new MinimumAgeRequirement(21)));
    options.AddPolicy("MinimumAge25", policy =>
        policy.Requirements.Add(new MinimumAgeRequirement(25)));
});
// 注册处理程序
builder.Services.AddSingleton<IAuthorizationHandler, MinimumAgeHandler>();

4. 使用授权政策

// 控制器或方法上直接引用政策
[Authorize(Policy = "MinimumAge21")]
public IActionResult AlcoholPurchase()
{
    return View();
}

[Authorize(Policy = "MinimumAge25")]
public IActionResult CarRental()
{
    return View();
}

如果需要更灵活的动态政策（比如直接通过参数指定年龄），还可以实现IAuthorizationPolicyProvider来自动解析政策名称中的年龄参数。

优先选择AuthorizationPolicy的理由 #

• 复用性强：一个通用处理程序支持所有年龄门槛，新增规则只需添加对应政策，无需重复编写校验逻辑
• 集成度高：完全融入ASP.NET Core原生授权体系，可与角色、声明、其他授权要求组合使用（比如同时要求年龄+管理员权限）
• 可测试性好：授权处理程序可单独进行单元测试，只需构造上下文和用户声明即可
• 灵活性高：支持全局、控制器级、方法级的授权配置，还能通过动态政策适配复杂场景
• 维护成本低：所有授权规则集中管理，后续调整校验逻辑（比如年龄计算方式）时只需修改一处

内容的提问来源于stack exchange，提问作者Donny Kwitty