ABP Web Api：[Authorize]多权限配置失效，需单权限即可访问接口

为什么你的配置失效？ #

1. Roles参数不适用ABP权限系统：ABP的权限不是以传统"角色(Role)"形式存储的，而是通过Permission类型的Claim（标识为AbpClaimTypes.Permission）来管理，所以直接用[Authorize(Roles = "...")]无法识别你的权限标识。
2. 多个[Authorize]属性是AND逻辑：ASP.NET Core默认会把多个[Authorize]属性的要求视为"同时满足"，所以第三种配置会强制用户必须拥有三个权限才能访问，和你的"任意一个即可"需求完全相反。

正确的实现方式 #

方式一：使用ABP原生AbpAuthorizeAttribute（推荐）

ABP框架提供了专门的AbpAuthorizeAttribute，支持直接传入多个权限标识，默认采用OR逻辑（用户拥有任意一个权限即可访问）：

// 移除控制器上的[Authorize]，因为AbpAuthorize已包含授权检查
public class RequestDeleteBuildingController : AqaratController, IRequestDeleteBuildingAppService
{
    [AbpAuthorize(
        AqaratPermissions.RequestAddBuilding.Create,
        AqaratPermissions.RequestEditBuilding.Create,
        AqaratPermissions.RequestDeleteBuilding.Create
    )]
    public async Task<RequestBuildingCoordinateDto> CreateAsync(Guid requestId, CreateUpdateRequestBuildingCoordinateDto input)
    {
        return await requestBuildingCoordinateAppService.CreateAsync(requestId, input);
    }
}

方式二：自定义授权策略（通用ASP.NET Core方案）

如果需要更灵活的授权逻辑，可以在项目的Module类中定义自定义授权策略，指定OR逻辑的权限检查：

public override void ConfigureServices(ServiceConfigurationContext context)
{
    // 其他配置...

    context.Services.AddAuthorization(options =>
    {
        options.AddPolicy("CanCreateBuildingRequest", policy =>
        {
            policy.RequireAssertion(context =>
                context.User.HasPermission(AqaratPermissions.RequestAddBuilding.Create) ||
                context.User.HasPermission(AqaratPermissions.RequestEditBuilding.Create) ||
                context.User.HasPermission(AqaratPermissions.RequestDeleteBuilding.Create)
            );
        });
    });
}

然后在控制器方法上引用该策略：

public class RequestDeleteBuildingController : AqaratController, IRequestDeleteBuildingAppService
{
    [Authorize(Policy = "CanCreateBuildingRequest")]
    public async Task<RequestBuildingCoordinateDto> CreateAsync(Guid requestId, CreateUpdateRequestBuildingCoordinateDto input)
    {
        return await requestBuildingCoordinateAppService.CreateAsync(requestId, input);
    }
}

内容的提问来源于stack exchange，提问作者Abdelrahman Zidan