为兼具普通用户权限的ASP.NET API添加超级用户的方案选型

你的两个方案的适用性分析 #

• 方案1：添加IsAdminUseOnly布尔属性
  这种方式本质是重复实现ASP.NET内置的授权逻辑，不仅代码冗余，还需自定义过滤器校验属性值，容易出现过滤器注册遗漏、权限判断逻辑错误等问题，完全不如直接使用框架原生的[Authorize]系列属性高效可靠，不推荐采用。

• 方案2：继承普通控制器实现管理员子类
  该方案能实现一定程度的分离，但存在明显缺陷：

  1. 会产生重复的端点路由（如/api/My和/api/MyAdmin），而管理员本身就有权访问普通控制器的端点，这种重复完全没必要；
  2. 普通控制器的逻辑变更会直接影响子类，耦合性高；
  3. 若后续需求调整（比如某个普通端点需限制管理员访问），继承结构会导致修改成本剧增。因此该方案也不是最优解。

更合适的实现方式 #

推荐采用基于策略的授权或者区域分组+控制器级授权，这两种方式都能实现清晰的关注点分离，降低权限错配风险。

1. 基于策略的授权（推荐）

利用ASP.NET Core的策略授权系统，预先定义权限策略，在控制器/端点上灵活标记，既清晰又易维护。

步骤1：配置授权策略
在Program.cs（或Startup.cs）中注册策略：

services.AddAuthorization(options =>
{
    // 仅管理员可访问的策略
    options.AddPolicy("AdministratorOnly", policy =>
        policy.RequireRole(RolesConvention.Administrator));
    // 所有认证用户（普通+管理员）可访问的策略
    options.AddPolicy("AuthenticatedUsers", policy =>
        policy.RequireAuthenticatedUser());
});

步骤2：在控制器/端点上应用策略

// 控制器默认允许所有认证用户访问
[Authorize(Policy = "AuthenticatedUsers")]
public class MyController : ControllerBase
{
    // 普通用户和管理员均可访问
    [HttpGet]
    public IActionResult GetPublicContent()
    {
        return Ok("普通内容");
    }

    // 仅管理员可访问，单独标记策略
    [HttpGet("admin-exclusive")]
    [Authorize(Policy = "AdministratorOnly")]
    public IActionResult GetAdminExclusiveContent()
    {
        return Ok("管理员专属内容");
    }
}

这种方式下，新增普通端点无需额外标记，新增管理员端点只需添加[Authorize(Policy = "AdministratorOnly")]，极大降低漏加权限校验的概率。

2. 区域分组+控制器级授权

通过ASP.NET的Area特性将普通用户和管理员的控制器物理分离，在区域控制器上统一配置权限，结构更清晰。

步骤1：创建Admin区域
在项目中创建Areas/Admin目录，添加管理员专属控制器：

[Area("Admin")]
// 区域内所有控制器默认要求管理员角色
[Authorize(Roles = RolesConvention.Administrator)]
public class MyAdminController : ControllerBase
{
    // 管理员专属功能
    [HttpGet("special-operation")]
    public IActionResult AdminSpecialOperation()
    {
        return Ok("管理员专属操作");
    }
}

步骤2：普通用户控制器
根目录下的控制器默认允许所有认证用户：

[Authorize]
public class MyController : ControllerBase
{
    [HttpGet]
    public IActionResult GetPublicContent()
    {
        return Ok("普通内容");
    }
}

这种方式通过目录结构强制区分权限，新增控制器时只需放入对应区域即可自动应用权限规则，从根源上减少权限配置错误。

内容的提问来源于stack exchange，提问作者user20300416