.NET Web API控制器与方法的角色权限适配问题

针对你遇到的控制器级[Authorize(Roles = "Admin")]与方法级需要开放给Admin和User角色的冲突问题，以下是两种可行的解决方式：

方法一：用[AllowAnonymous]+方法级多角色授权 #

通过[AllowAnonymous]覆盖控制器的权限限制，再在方法上单独指定允许的角色集合，这样方法会允许拥有Admin或User角色的用户访问，而控制器其他方法仍保持仅Admin可访问的规则。

代码示例：

[Authorize(Roles = "Admin")]
public class ManageController : ControllerBase
{
    // 仅Admin角色可访问的方法
    [HttpGet("admin-only")]
    public IActionResult AdminOnlyAction()
    {
        return Ok("仅管理员可见内容");
    }

    // Admin和User角色均可访问的方法
    [AllowAnonymous]
    [Authorize(Roles = "Admin,User")]
    [HttpGet("admin-user-shared")]
    public IActionResult SharedAction()
    {
        return Ok("管理员和普通用户均可查看的内容");
    }
}

方法二：自定义授权策略 #

如果需要在多个地方复用这种"Admin或User可访问"的规则，可以通过自定义授权策略实现，更便于维护和扩展。

1. 先在Program.cs中注册授权策略：

builder.Services.AddAuthorization(options =>
{
    // 仅Admin角色可访问的策略
    options.AddPolicy("OnlyAdmin", policy =>
        policy.RequireRole("Admin"));

    // Admin或User角色均可访问的策略
    options.AddPolicy("AdminOrUser", policy =>
        policy.RequireRole("Admin", "User"));
});

2. 在控制器和方法上使用对应策略：

[Authorize(Policy = "OnlyAdmin")]
public class ManageController : ControllerBase
{
    [HttpGet("admin-only")]
    public IActionResult AdminOnlyAction()
    {
        return Ok("仅管理员可见内容");
    }

    [Authorize(Policy = "AdminOrUser")]
    [HttpGet("admin-user-shared")]
    public IActionResult SharedAction()
    {
        return Ok("管理员和普通用户均可查看的内容");
    }
}

内容的提问来源于stack exchange，提问作者Viki