ASP.NET Core 6 MVC：如何基于角色与资产配置认证授权

现有方案分析 #

方案1：修改Identity角色表扩展资产关联 #

• 核心问题：
  • 破坏ASP.NET Core Identity默认表结构，后续框架升级、原生角色管理功能扩展易出现兼容性问题。
  • 管理员需为每个资产单独配置角色，权限维护成本随资产数量线性增长，操作冗余。
  • 重写SignInManager和IsInRole方法偏离Identity原生设计，增加代码复杂度与维护风险。

方案2：策略模式（推荐） #

策略模式完全契合ASP.NET Core授权系统的原生设计，能灵活实现资产级细粒度权限控制，同时完美解决管理员全局权限问题。

具体实现步骤 #

1. 数据库设计 #

新建UserAssetPermissions表存储用户-资产-权限关联：

同时在aspnetUsers表添加IsSiteAdmin布尔字段（或通过Claim存储，无需修改表结构），标记全局管理员身份。

2. 定义权限需求与处理程序 #

创建自定义权限需求类：

public class AssetPermissionRequirement : IAuthorizationRequirement
{
    public string PermissionName { get; }

    public AssetPermissionRequirement(string permissionName)
    {
        PermissionName = permissionName;
    }
}

实现授权处理程序，优先校验全局管理员权限，再验证资产级权限：

public class AssetPermissionHandler : AuthorizationHandler<AssetPermissionRequirement>
{
    private readonly IUserAssetPermissionRepository _permissionRepo;
    private readonly IHttpContextAccessor _httpContextAccessor;

    public AssetPermissionHandler(IUserAssetPermissionRepository permissionRepo, IHttpContextAccessor httpContextAccessor)
    {
        _permissionRepo = permissionRepo;
        _httpContextAccessor = httpContextAccessor;
    }

    protected override async Task HandleRequirementAsync(AuthorizationHandlerContext context, AssetPermissionRequirement requirement)
    {
        // 全局管理员直接通过所有权限验证
        if (context.User.HasClaim(c => c.Type == "SiteAdmin" && c.Value == "true"))
        {
            context.Succeed(requirement);
            return;
        }

        // 从路由参数获取当前操作的资产ID（可根据实际场景调整为QueryString/Body取值）
        var assetId = _httpContextAccessor.HttpContext?.Request.RouteValues["assetId"]?.ToString();
        if (string.IsNullOrEmpty(assetId))
        {
            context.Fail(new AuthorizationFailureReason(this, "无法获取目标资产ID"));
            return;
        }

        var userId = context.User.FindFirstValue(ClaimTypes.NameIdentifier);
        if (string.IsNullOrEmpty(userId))
        {
            context.Fail(new AuthorizationFailureReason(this, "用户未登录"));
            return;
        }

        // 校验用户是否拥有该资产的对应权限
        var hasPermission = await _permissionRepo.HasPermissionAsync(userId, assetId, requirement.PermissionName);
        if (hasPermission)
        {
            context.Succeed(requirement);
        }
        else
        {
            context.Fail(new AuthorizationFailureReason(this, $"用户无资产[{assetId}]的{requirement.PermissionName}权限"));
        }
    }
}

3. 注册授权策略与服务 #

在Program.cs中配置授权策略并注册处理程序：

builder.Services.AddAuthorization(options =>
{
    // 注册资产级权限策略
    options.AddPolicy("CanViewItems", policy =>
        policy.Requirements.Add(new AssetPermissionRequirement("CanViewItems")));
    options.AddPolicy("CanEditItems", policy =>
        policy.Requirements.Add(new AssetPermissionRequirement("CanEditItems")));
    options.AddPolicy("CanViewLocations", policy =>
        policy.Requirements.Add(new AssetPermissionRequirement("CanViewLocations")));
    options.AddPolicy("CanEditLocations", policy =>
        policy.Requirements.Add(new AssetPermissionRequirement("CanEditLocations")));
    
    // 注册全局管理员策略
    options.AddPolicy("SiteAdmin", policy =>
        policy.RequireClaim("SiteAdmin", "true"));
});

// 注册授权处理程序与权限仓储
builder.Services.AddScoped<IAuthorizationHandler, AssetPermissionHandler>();
builder.Services.AddScoped<IUserAssetPermissionRepository, UserAssetPermissionRepository>();

4. 应用权限控制 #

在控制器或Action上通过[Authorize]特性指定策略：

[Authorize(Policy = "CanEditItems")]
public async Task<IActionResult> EditItem(string assetId, int itemId)
{
    // 仅拥有该资产编辑权限的用户或全局管理员可访问
    var item = await _itemRepo.GetByIdAsync(assetId, itemId);
    return View(item);
}

// 全局管理员专属操作
[Authorize(Policy = "SiteAdmin")]
public IActionResult AddUser()
{
    return View();
}

5. 管理员权限注入 #

登录时为管理员用户添加SiteAdmin Claim：

public async Task<IActionResult> Login(LoginViewModel model)
{
    // 用户身份校验逻辑...
    var user = await _userManager.FindByEmailAsync(model.Email);
    
    var claims = new List<Claim>
    {
        new Claim(ClaimTypes.NameIdentifier, user.Id),
        new Claim(ClaimTypes.Email, user.Email)
    };

    // 为全局管理员添加专属Claim
    if (user.IsSiteAdmin)
    {
        claims.Add(new Claim("SiteAdmin", "true"));
    }

    var claimsIdentity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);
    await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, new ClaimsPrincipal(claimsIdentity));
    
    return RedirectToAction("Index", "Home");
}

优化建议 #

• 用枚举定义权限名称，避免硬编码：public enum Permission { CanViewItems, CanEditItems, ... }
• 缓存用户的资产权限列表，减少数据库查询次数（如使用IDistributedCache）
• 支持角色-资产权限关联，批量配置同角色用户的资产权限，降低维护成本

内容的提问来源于stack exchange，提问作者Minority