ASP.NET Core 6中基于数据库信息的用户授权实现问询

可行性结论 #

完全可以实现该授权机制。核心逻辑是在后端API的授权校验环节，结合JWT令牌中的角色声明与客户端提交的位置信息，通过数据库存储的映射关系验证两者是否匹配，以此判断用户是否具备访问权限。

实现思路 #

1. 请求携带信息：客户端调用后端API时，同时提供JWT令牌（通常放在Authorization请求头）和位置信息（可放在请求头、URL参数或请求体中，建议用请求头如X-Location）。
2. JWT验证与解析：后端先验证JWT的有效性（签名、过期时间等），解析出令牌中的角色声明。
3. 位置信息提取：从请求中获取用户提交的位置信息。
4. 数据库匹配校验：查询数据库中location_role_mapping表，验证当前用户的角色是否与提交的位置存在合法映射关系。
5. 权限判断：匹配通过则允许请求继续执行，否则返回授权失败响应。

数据库表结构（完善版） #

基于你提供的表结构，添加联合主键确保映射关系的唯一性：

CREATE TABLE location_role_mapping (
    location VARCHAR(50) NOT NULL,
    role VARCHAR(50) NOT NULL,
    PRIMARY KEY (location, role)
);

-- 插入示例数据
INSERT INTO location_role_mapping (location, role) VALUES ('England', 'UserFromEngland');

代码示例（Java Spring Boot） #

1. 实体类与Repository

// 实体类
@Entity
@Table(name = "location_role_mapping")
public class LocationRoleMapping {
    @Id
    private String location;
    @Column(nullable = false)
    private String role;

    // 构造器、Getter、Setter省略
}

// Repository接口
public interface LocationRoleRepository extends JpaRepository<LocationRoleMapping, String> {
    Optional<LocationRoleMapping> findByLocationAndRole(String location, String role);
}

2. 自定义授权过滤器

@Component
public class LocationRoleAuthFilter extends OncePerRequestFilter {

    @Autowired
    private JwtTokenProvider jwtTokenProvider;

    @Autowired
    private LocationRoleRepository roleRepo;

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException {
        // 提取并验证JWT令牌
        String token = request.getHeader("Authorization");
        if (token == null || !token.startsWith("Bearer ")) {
            response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "缺失有效令牌");
            return;
        }
        token = token.substring(7);
        if (!jwtTokenProvider.isValid(token)) {
            response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "无效令牌");
            return;
        }

        // 解析令牌中的角色
        String userRole = jwtTokenProvider.extractRole(token);
        if (userRole == null) {
            response.sendError(HttpServletResponse.SC_FORBIDDEN, "令牌无角色信息");
            return;
        }

        // 提取位置信息
        String userLocation = request.getHeader("X-Location");
        if (userLocation == null || userLocation.trim().isEmpty()) {
            response.sendError(HttpServletResponse.SC_BAD_REQUEST, "缺失位置信息");
            return;
        }

        // 数据库校验匹配关系
        if (roleRepo.findByLocationAndRole(userLocation, userRole).isEmpty()) {
            response.sendError(HttpServletResponse.SC_FORBIDDEN, "当前角色无法访问该位置资源");
            return;
        }

        // 校验通过，继续执行请求
        chain.doFilter(request, response);
    }
}

3. JWT工具类（核心方法示例）

@Component
public class JwtTokenProvider {
    private final String secretKey = "your-secret-key"; // 实际应从配置文件读取
    private final long validityInMs = 3600000; // 1小时有效期

    // 验证令牌有效性
    public boolean isValid(String token) {
        try {
            Jwts.parser().setSigningKey(secretKey).parseClaimsJws(token);
            return true;
        } catch (JwtException | IllegalArgumentException e) {
            return false;
        }
    }

    // 从令牌提取角色声明
    public String extractRole(String token) {
        Claims claims = Jwts.parser()
                .setSigningKey(secretKey)
                .parseClaimsJws(token)
                .getBody();
        return claims.get("role", String.class);
    }
}

关键注意事项 #

• 位置信息可信性：确保位置信息传输过程不被篡改，建议通过HTTPS传输，或在客户端API层对位置信息做初步校验（比如结合IP定位交叉验证）。
• JWT安全性：严格验证JWT的签名、过期时间，避免令牌被伪造或复用。
• 性能优化：高频请求场景下，可对location_role_mapping的查询结果做缓存（如Redis），减少数据库访问压力。
• 扩展性：若后续需要支持一个位置对应多个角色、或一个角色对应多个位置，只需调整数据库查询逻辑即可，无需大幅修改核心授权流程。

内容的提问来源于stack exchange，提问作者Mr.Gomer