ASP.NET Core 6 Razor Pages如何实现Blazor式局部HTML授权？

方法一：用asp-authorize Tag Helper（最接近Blazor的实现） #

这是和Blazor <AuthorizeView>逻辑最匹配的做法，直接通过Tag Helper包裹需要授权的HTML区块，自动根据当前用户角色判断是否渲染内容。

因为你已经实现登录并能获取OKTA声明，直接在.cshtml文件里这么写即可：

<div asp-authorize="Admins,Users">
    <!-- 这里放置只有Admins或Users角色能查看的内容 -->
    <p>只有授权用户才能看到这段内容！</p>
</div>

• 该Tag Helper会自动校验当前登录用户的角色声明，只有匹配指定角色的用户才会看到包裹的内容。
• 如果需要排除特定角色，可使用asp-authorize-deny属性：

<div asp-authorize-deny="Guests">
    <!-- 非Guests角色的用户能查看此区块 -->
</div>

方法二：手动判断角色（更灵活的自定义逻辑） #

如果需要结合其他条件做授权判断，直接在Razor视图中通过User对象检查角色即可：

方式1：使用IsInRole方法 #

@if (User.IsInRole("Admins") || User.IsInRole("Users"))
{
    <div>
        <p>欢迎，授权用户！</p>
        <p>你的角色：@string.Join(", ", User.Claims.Where(c => c.Type == ClaimTypes.Role).Select(c => c.Value))</p>
    </div>
}
else
{
    <p>你没有权限查看此内容</p>
}

方式2：直接检查OKTA的自定义声明 #

如果OKTA返回的角色声明类型不是默认的ClaimTypes.Role（比如用groups或自定义roles字段），可以直接筛选声明：

@using System.Security.Claims

@{
    var allowedRoles = new[] { "Admins", "Users" };
    var userRoles = User.Claims
                        .Where(c => c.Type == "roles") // 替换为OKTA实际返回的声明类型
                        .Select(c => c.Value);
    var hasPermission = allowedRoles.Intersect(userRoles).Any();
}

@if (hasPermission)
{
    <!-- 授权可见的内容 -->
}
else
{
    <!-- 未授权提示 -->
}

额外：整页级别的授权控制 #

如果需要对整个Razor Page进行授权限制，直接在对应的.cshtml.cs文件中添加特性即可：

using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc.RazorPages;

namespace YourProject.Pages
{
    [Authorize(Roles = "Admins,Users")]
    public class SecurePageModel : PageModel
    {
        public void OnGet()
        {
        }
    }
}

这样未授权用户访问该页面时，会直接跳转到登录页。

内容的提问来源于stack exchange，提问作者Jaish Mathews