C#中依赖服务的自定义属性创建与依赖注入问题

问题根源 #

.NET中属性是编译时实例化的，构造函数参数必须是编译时常量，没法让依赖注入容器自动传入IService这类运行时服务实例。所以你给CustomAuthorizeAttribute加带IService的构造函数后，用[CustomAuthorize]标记时会报错——编译器要求你手动传入构造参数，但你不可能在属性标记里传DI管理的服务。

解决方案 #

方案一：从请求上下文动态获取服务（快速实现） #

在IsAuthorized方法里，通过HttpActionContext的请求上下文获取服务实例，不需要构造函数注入：

public class CustomAuthorizeAttribute : AuthorizeAttribute
{
    protected override bool IsAuthorized(HttpActionContext actionContext)
    {
        // 从Web API的依赖解析器获取服务
        var service = actionContext.Request.GetDependencyScope()
                                     .GetService(typeof(IService)) as IService;

        if (service == null)
        {
            // 服务未注册，直接拒绝授权
            return false;
        }

        // 执行你的授权校验逻辑
        return service.ValidateYourAuthorizationLogic(actionContext);
    }
}

这样你就可以直接用[CustomAuthorize]标记接口，不需要传任何参数。

方案二：使用策略授权（推荐，更符合现代.NET设计） #

把授权逻辑从属性中分离出来，放到独立的过滤器里，利用DI容器管理依赖，属性只负责标记要使用的授权策略：

1. 定义授权过滤器（这里以ASP.NET Web API 2为例）：

public class CustomAuthorizationFilter : IAuthorizationFilter
{
    private readonly IService _service;

    // 这里可以正常用构造函数注入服务
    public CustomAuthorizationFilter(IService service)
    {
        _service = service;
    }

    public bool AllowMultiple => false;

    public async Task<HttpResponseMessage> ExecuteAuthorizationFilterAsync(
        HttpActionContext actionContext, 
        CancellationToken cancellationToken, 
        Func<Task<HttpResponseMessage>> continuation)
    {
        // 调用服务执行授权校验
        if (!_service.ValidateYourAuthorizationLogic(actionContext))
        {
            // 返回未授权响应
            return actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized);
        }

        // 校验通过，继续执行接口逻辑
        return await continuation();
    }
}

2. 注册过滤器和策略（在WebApiConfig.cs中）：

public static class WebApiConfig
{
    public static void Register(HttpConfiguration config)
    {
        // 替换成你的DI容器解析器（比如Autofac、Unity等）
        var container = BuildYourDependencyContainer();
        config.DependencyResolver = new AutofacWebApiDependencyResolver(container);

        // 注册授权过滤器，关联策略名称
        config.Filters.Add(new AuthorizationFilterProvider("CustomPolicy", container.Resolve<CustomAuthorizationFilter>()));
    }
}

3. 使用策略授权：

[Authorize(Policy = "CustomPolicy")]
public IHttpActionResult GetData()
{
    // 接口业务逻辑
    return Ok("Authorized data");
}

这种方式将授权逻辑与属性解耦，更易于维护和扩展，也能充分利用DI的优势。

内容的提问来源于stack exchange，提问作者Hashi