ASP.NET Core 6中基于枚举角色的自定义授权配置问题

1. 先定义带[Flags]特性的角色枚举 #

确保枚举支持按位或操作，符合你的需求：

[Flags]
public enum Role
{
    None = 0,
    SysAdmin = 1 << 0,
    Manager = 1 << 1,
    Editor = 1 << 2
}

2. 拆分授权需求与处理逻辑 #

将IAuthorizationRequirement（存储规则数据）和AuthorizationHandler（处理验证逻辑）分离，避免构造函数参数冲突：

自定义授权需求类

public class RolesAuthorizationRequirement : IAuthorizationRequirement
{
    public Role AllowedRoles { get; }

    public RolesAuthorizationRequirement(Role allowedRoles)
    {
        if (allowedRoles == Role.None)
        {
            throw new InvalidOperationException("必须指定至少一个允许的角色");
        }
        AllowedRoles = allowedRoles;
    }
}

授权逻辑处理类

public class RolesAuthorizationHandler : AuthorizationHandler<RolesAuthorizationRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, RolesAuthorizationRequirement requirement)
    {
        if (context.User == null)
        {
            return Task.CompletedTask;
        }

        // 从用户Claims中获取角色（需确保登录时已将角色写入Claim）
        var userRoleClaim = context.User.FindFirst(ClaimTypes.Role);
        if (userRoleClaim == null)
        {
            return Task.CompletedTask;
        }

        if (Enum.TryParse<Role>(userRoleClaim.Value, out var userRole))
        {
            // 按位验证：用户角色只要包含允许角色中的任意一个即通过
            if ((userRole & requirement.AllowedRoles) != Role.None)
            {
                context.Succeed(requirement);
            }
        }

        return Task.CompletedTask;
    }
}

3. 扩展Authorize特性支持枚举参数 #

创建自定义特性，让你可以直接在特性中指定枚举角色：

public class AuthorizeRoleAttribute : AuthorizeAttribute
{
    public Role RoleEnum
    {
        get => Enum.TryParse<Role>(Policy, out var role) ? role : Role.None;
        set => Policy = value.ToString();
    }
}

4. 实现动态策略提供器 #

让框架能根据自定义特性中的枚举值，自动生成对应的授权策略：

public class RolesAuthorizationPolicyProvider : DefaultAuthorizationPolicyProvider
{
    private readonly IAuthorizationPolicyFactory _policyFactory;

    public RolesAuthorizationPolicyProvider(IOptions<AuthorizationOptions> options, IAuthorizationPolicyFactory policyFactory)
        : base(options)
    {
        _policyFactory = policyFactory;
    }

    public override Task<AuthorizationPolicy?> GetPolicyAsync(string policyName)
    {
        // 解析策略名称为角色枚举，动态生成授权策略
        if (Enum.TryParse<Role>(policyName, out var allowedRoles) && allowedRoles != Role.None)
        {
            var policyBuilder = new AuthorizationPolicyBuilder();
            policyBuilder.AddRequirements(new RolesAuthorizationRequirement(allowedRoles));
            return Task.FromResult<AuthorizationPolicy?>(policyBuilder.Build());
        }

        // 非自定义角色策略，沿用默认逻辑
        return base.GetPolicyAsync(policyName);
    }
}

5. 注册授权服务 #

在Program.cs中完成所有服务注册：

// 注册授权逻辑处理类
builder.Services.AddSingleton<IAuthorizationHandler, RolesAuthorizationHandler>();

// 替换默认策略提供器，支持动态生成枚举角色策略
builder.Services.AddSingleton<IAuthorizationPolicyProvider, RolesAuthorizationPolicyProvider>();

// 基础授权配置
builder.Services.AddAuthorization();

6. 在Razor Pages中使用 #

直接在PageModel上标记自定义特性即可：

[AuthorizeRole(RoleEnum = Role.SysAdmin | Role.Manager)]
public class IndexModel : PageModel
{
    public void OnGet()
    {
    }
}

关键问题说明 #

你之前的错误核心在于：

• 将授权需求与处理逻辑合并为一个类，导致注册策略时必须传入构造参数，无法动态适配不同角色组合
• 试图硬编码单一授权策略，而没有利用动态策略提供器实现枚举角色的灵活匹配

内容的提问来源于stack exchange，提问作者Alex