Blazor中基于OIDC认证后添加数据库额外授权层的实现咨询

1. 现有逻辑是否为最优实现？ #

你的实现逻辑可行，但算不上最优方案。原因在于：

• 直接在<Authorized>标签内嵌套自定义授权组件，会让UI层和授权逻辑耦合度变高，不利于代码复用和后续维护。
• 没有利用Blazor框架原生的授权扩展能力，比如自定义授权策略（Policy），这种方式更符合框架设计规范，也能让授权逻辑和UI解耦。

如果只是简单场景，当前写法能快速实现需求，但如果后续需要在多个页面复用这套额外授权逻辑，或者授权规则变得复杂，这种写法会显得冗余。

2. 如何在内构建自定义授权视图？ #

推荐两种更规范的实现方式，按需选择：

方式一：利用Blazor自定义授权策略（推荐） #

这种方式把额外授权逻辑封装到框架的授权系统中，复用性更强：

1. 定义授权需求
   创建一个自定义的授权需求类，用来标记额外授权的规则：

public class ExtraLayerRequirement : IAuthorizationRequirement
{
    // 可根据需求添加参数，比如需要的权限等级、资源范围等
}

2. 实现授权处理器
   编写AuthorizationHandler来处理额外授权逻辑，比如从数据库查询用户的额外权限：

public class ExtraLayerAuthorizationHandler : AuthorizationHandler<ExtraLayerRequirement>
{
    private readonly IUserRepository _userRepository; // 假设这是你的用户数据仓储

    public ExtraLayerAuthorizationHandler(IUserRepository userRepository)
    {
        _userRepository = userRepository;
    }

    protected override async Task HandleRequirementAsync(AuthorizationHandlerContext context, ExtraLayerRequirement requirement)
    {
        // 获取当前OIDC认证后的用户ID
        var userId = context.User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        if (string.IsNullOrEmpty(userId))
        {
            context.Fail();
            return;
        }

        // 从数据库查询用户是否满足额外授权条件
        var userHasExtraPermission = await _userRepository.HasExtraLayerPermissionAsync(userId);
        if (userHasExtraPermission)
        {
            context.Succeed(requirement);
        }
        else
        {
            context.Fail();
        }
    }
}

3. 注册授权服务
   在Program.cs中注册自定义的授权策略和处理器：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("ExtraLayerAuthorized", policy =>
        policy.Requirements.Add(new ExtraLayerRequirement()));
});

builder.Services.AddScoped<IAuthorizationHandler, ExtraLayerAuthorizationHandler>();

4. 在AuthorizeView中使用策略
   直接在<AuthorizeView>或<Authorized>标签上指定策略，无需自定义组件：

<AuthorizeView>
    <Authorized Policy="ExtraLayerAuthorized">
        <p>通过OIDC认证和额外层授权</p>
    </Authorized>
    <Authorized>
        <p>仅通过OIDC认证，未通过额外层授权</p>
    </Authorized>
    <NotAuthorized>
        <p>未获得任何授权</p>
    </NotAuthorized>
</AuthorizeView>

注：两个<Authorized>标签会按顺序匹配，第一个满足条件的会优先渲染内容。

方式二：自定义授权组件（适配你的原始思路） #

如果想保留你最初的嵌套组件写法，可以封装自定义的判断组件：

1. 创建自定义组件ExtraLayerAuthorized.razor

@inject IAuthorizationService AuthorizationService
@inject AuthenticationStateProvider AuthStateProvider

@if (isExtraAuthorized)
{
    @ChildContent
}

@code {
    [Parameter] public RenderFragment ChildContent { get; set; }
    private bool isExtraAuthorized;

    protected override async Task OnInitializedAsync()
    {
        var authState = await AuthStateProvider.GetAuthenticationStateAsync();
        var user = authState.User;

        // 调用授权服务判断是否满足额外授权（复用上面的自定义策略）
        var result = await AuthorizationService.AuthorizeAsync(user, "ExtraLayerAuthorized");
        isExtraAuthorized = result.Succeeded;
    }
}

2. 创建NotExtraLayerAuthorized.razor组件

@inject IAuthorizationService AuthorizationService
@inject AuthenticationStateProvider AuthStateProvider

@if (!isExtraAuthorized)
{
    @ChildContent
}

@code {
    [Parameter] public RenderFragment ChildContent { get; set; }
    private bool isExtraAuthorized;

    protected override async Task OnInitializedAsync()
    {
        var authState = await AuthStateProvider.GetAuthenticationStateAsync();
        var user = authState.User;

        var result = await AuthorizationService.AuthorizeAsync(user, "ExtraLayerAuthorized");
        isExtraAuthorized = result.Succeeded;
    }
}

3. 在原有AuthorizeView中使用
   直接按你最初的写法嵌套使用即可：

<AuthorizeView>
    <Authorized>                
        <ExtraLayerAuthorized>                
            <p>通过OIDC认证和额外层授权</p>
        </ExtraLayerAuthorized>
        <NotExtraLayerAuthorized>
            <p>仅通过OIDC认证，未通过额外层授权</p>
        </NotExtraLayerAuthorized>
    </Authorized>
    <NotAuthorized>
        <p>未获得任何授权</p>
    </NotAuthorized>
</AuthorizeView>

内容的提问来源于stack exchange，提问作者KDA