ASP.NET Core Razor中动态用户类型的后台权限授权方案咨询

核心思路 #

既然你的用户类型是动态的，且采用基于权限的认证，就不能再依赖RequireRole这种静态角色判断，转而用排除普通用户或动态权限匹配的策略来实现需求。

方案1：快速实现——排除普通用户的授权策略 #

如果系统里普通用户有统一标识（比如固定角色Roles.RegularUser，或权限声明RegularUser），直接创建一个排除该标识的策略即可：

配置授权策略 #

services.AddAuthorization(options =>
{
    // 后台管理专属策略：拒绝普通用户访问
    options.AddPolicy("AllowNonRegularUsers", policy =>
    {
        // 方式A：用角色区分普通用户（兼容原有角色逻辑）
        policy.RequireAssertion(context => 
            !context.User.IsInRole(Roles.RegularUser));
        
        // 方式B：用权限声明判断（更适配动态权限场景）
        // policy.RequireAssertion(context => 
        //     !context.User.HasClaim(c => c.Type == "Permission" && c.Value == "RegularUser"));
    });

    // 保留原有Discount策略（如果仍需使用）
    options.AddPolicy("Discount", policy =>
        policy.RequireRole(Roles.Administrator));
});

应用策略到后台区域 #

在后台控制器或页面上添加授权特性：

[Authorize(Policy = "AllowNonRegularUsers")]
public class AdminController : Controller
{
    // 后台管理相关接口/页面逻辑
}

方案2：灵活扩展——自定义动态授权处理程序 #

如果权限规则需要从数据库等动态源读取，或者逻辑更复杂，用自定义授权处理程序更合适：

1. 定义授权要求 #

// 空类仅作为授权标识
public class NonRegularUserRequirement : IAuthorizationRequirement { }

2. 实现授权逻辑 #

public class NonRegularUserHandler : AuthorizationHandler<NonRegularUserRequirement>
{
    // 可注入权限服务，从数据库/配置中心动态获取规则
    // private readonly IPermissionService _permissionService;
    // public NonRegularUserHandler(IPermissionService permissionService)
    // {
    //     _permissionService = permissionService;
    // }

    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, NonRegularUserRequirement requirement)
    {
        // 示例1：通过权限声明判断是否为普通用户
        var isRegularUser = context.User.HasClaim(c => c.Type == "Permission" && c.Value == "RegularUser");
        if (!isRegularUser)
        {
            context.Succeed(requirement);
        }

        // 示例2：从动态数据源判断用户类型
        // var userId = context.User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        // var userType = await _permissionService.GetUserTypeAsync(userId);
        // if (userType != UserType.Regular)
        // {
        //     context.Succeed(requirement);
        // }

        return Task.CompletedTask;
    }
}

3. 注册授权服务 #

services.AddAuthorization(options =>
{
    options.AddPolicy("AllowNonRegularUsers", policy =>
        policy.Requirements.Add(new NonRegularUserRequirement()));

    options.AddPolicy("Discount", policy =>
        policy.RequireRole(Roles.Administrator));
});

// 注册自定义授权处理程序
services.AddScoped<IAuthorizationHandler, NonRegularUserHandler>();

注意事项 #

• 动态权限场景下，优先用**权限声明（Claim）**替代硬编码角色，方便后续新增用户类型。
• 确保用户登录时，权限声明已正确加载；如果权限动态更新，需要实现Claims刷新机制。
• 测试时覆盖所有用户类型（普通用户、管理员、内容上传者等），验证策略生效。

内容的提问来源于stack exchange，提问作者amir parsa rezaie