Piranha CMS管理员菜单权限配置问题：未登录用户可访问菜单及页面

直接设置菜单项的授权策略 #

Piranha CMS的管理员后台内置了专门的授权策略Piranha.Manager，只需给你的MenuItem添加这个策略属性，就能限制只有登录的管理员才能看到该菜单项。修改后的代码如下：

Menu.Items["Competitions"].Items.Add(new MenuItem
{
    InternalId = "CompetitionData",
    Name = "Competition data",
    Route = "~/manager/Competitions/CompetitionData",
    Css = "fas fa-file-excel",
    Policy = "Piranha.Manager" // 添加授权策略
});

注意：仅限制菜单项还不够，你需要给CompetitionData对应的控制器/页面也加上授权特性，防止用户直接通过URL访问：

[Authorize(Policy = "Piranha.Manager")]
public class CompetitionDataController : Controller
{
    // 你的控制器逻辑
}

角色、声明与策略的关联说明 #

• 策略：是授权的核心规则，它定义了用户需要满足哪些条件才能访问资源。Piranha内置的Piranha.Manager策略，会验证用户是否具备管理员身份（对应系统内置的角色或声明）。
• 角色：是用户的身份分组，比如Piranha里的Admin角色，拥有该角色的用户默认符合Piranha.Manager策略的要求。
• 声明：是更细粒度的权限单元，比如某个用户拥有EditCompetitions的声明，策略可以组合多个声明来实现精准授权。

Piranha在初始化时已经自动注册了Piranha.Manager策略，无需额外配置，直接使用即可。

自定义权限（可选） #

如果需要更严格的权限控制（比如仅允许特定角色访问该菜单项），可以自定义策略：

1. 在Startup.cs的ConfigureServices方法中注册自定义策略：

services.AddAuthorization(options =>
{
    options.AddPolicy("CompetitionEditor", policy =>
        policy.RequireRole("CompetitionEditor"));
});

2. 给菜单项和控制器设置该策略：

// 菜单项
Policy = "CompetitionEditor"

// 控制器
[Authorize(Policy = "CompetitionEditor")]

内容的提问来源于stack exchange，提问作者RobertS