基于ASP.NET Web API实现角色授权的问题求助（含User类代码）

一、将用户类型加入身份声明 #

登录验证通过后，把IsUser字段作为自定义Claim添加到身份令牌中，让API能在请求时识别用户类型：

// 登录逻辑中，获取到User实体后
var claims = new List<Claim>
{
    new Claim(ClaimTypes.NameIdentifier, user.Id.ToString()),
    new Claim(ClaimTypes.Name, user.AccountName),
    // 加入自定义Claim标记用户类型
    new Claim("IsUser", user.IsUser.ToString().ToLower())
};

var identity = new ClaimsIdentity(claims, JwtBearerDefaults.AuthenticationScheme);
// 生成JWT令牌并返回给客户端...

二、配置授权策略 #

在项目配置文件（Program.cs/.NET6+ 或 Startup.cs）中，针对移动端用户和管理员分别定义授权策略：

builder.Services.AddAuthorization(options =>
{
    // 移动端用户专属策略：仅允许IsUser=true的用户访问
    options.AddPolicy("MobileUser", policy =>
        policy.RequireClaim("IsUser", "true"));
    
    // 管理员专属策略：仅允许IsUser=false的用户访问
    options.AddPolicy("Admin", policy =>
        policy.RequireClaim("IsUser", "false"));
});

三、在API接口上应用授权 #

给不同端的接口绑定对应的授权策略，确保只有符合条件的用户能访问：

移动端接口示例

[ApiController]
[Route("api/mobile/[controller]")]
// 仅允许移动端用户访问
[Authorize(Policy = "MobileUser")]
public class ParcelsController : ControllerBase
{
    [HttpGet]
    public IActionResult GetMyParcels()
    {
        // 获取当前登录用户ID，查询其关联的Parcels
        var userId = Guid.Parse(User.FindFirstValue(ClaimTypes.NameIdentifier));
        // 业务逻辑...
        return Ok();
    }
}

管理员后台接口示例

[ApiController]
[Route("api/admin/[controller]")]
// 仅允许管理员访问
[Authorize(Policy = "Admin")]
public class UsersController : ControllerBase
{
    [HttpGet]
    public IActionResult GetAllUsers()
    {
        // 查询所有用户的业务逻辑...
        return Ok();
    }
}

四、优化建议：改用角色字段（更符合RBAC规范） #

如果后续可能扩展更多用户角色（如客服、超级管理员），建议把IsUser布尔字段替换为Role字符串字段，灵活性更高：

// 修改User类
public string Role { get; set; } = "Admin"; // 可选值："MobileUser", "Admin", "Support"等

登录时添加角色声明：

new Claim(ClaimTypes.Role, user.Role)

授权策略简化为基于角色：

options.AddPolicy("MobileUser", policy => policy.RequireRole("MobileUser"));
options.AddPolicy("Admin", policy => policy.RequireRole("Admin"));
// 也可以直接在控制器上用[Authorize(Roles = "Admin")]

内容的提问来源于stack exchange，提问作者William Anderson