ABP Framework中匿名用户创建新租户及用户的权限问题

匿名用户默认是否支持调用租户创建接口？ #

默认不支持。ABP框架多租户模块中ITenantAppService.CreateAsync默认绑定Saas.Tenants.Create权限，该权限仅开放给宿主超级管理员，匿名用户、普通租户用户均无访问权限，直接从前端调用必然触发403权限报错，和你遇到的问题表现一致。

是否应该移除原接口权限校验、给匿名用户开放访问？ #

绝对不推荐。原ITenantAppService是为宿主后台管理场景设计的，除基础租户创建外还包含租户版本绑定、连接字符串配置、付费属性管理等后台能力，直接移除权限校验等于把租户管理全量能力暴露在公网，存在严重的越权安全风险。

注册流程同步创建租户的正确实现方式 #

核心思路是把租户创建逻辑从前端挪到后端自定义匿名接口，绕过原管理接口的权限限制，同时做好安全防护，具体步骤如下：

• 1. 在宿主端（不要放在租户项目内）新建自定义公开应用服务，给服务方法添加[AllowAnonymous]特性标记，允许匿名访问。
• 2. 接口内部不要直接调用ITenantAppService，而是注入领域层ITenantManager和对应仓储完成租户创建，直接走领域逻辑可以绕过应用层权限校验，参考实现代码：

[AllowAnonymous]
public class PublicRegisterAppService : ApplicationService
{
    private readonly ITenantManager _tenantManager;
    private readonly IRepository<Tenant, Guid> _tenantRepository;
    private readonly IIdentityUserManager _userManager;

    public PublicRegisterAppService(
        ITenantManager tenantManager,
        IRepository<Tenant, Guid> tenantRepository,
        IIdentityUserManager userManager)
    {
        _tenantManager = tenantManager;
        _tenantRepository = tenantRepository;
        _userManager = userManager;
    }

    public async Task<RegisterResultDto> Register(RegisterDto dto)
    {
        // 前置校验：校验密码强度、租户名/邮箱是否重复、验证码是否有效
        var existTenant = await _tenantRepository.FindAsync(t => t.Name == dto.UserName);
        if (existTenant != null) throw new UserFriendlyException("当前用户名已被占用");

        // 用领域管理器创建租户
        var newTenant = await _tenantManager.CreateAsync(dto.UserName);
        newTenant.AdminEmailAddress = dto.EmailAddress;
        await _tenantRepository.InsertAsync(newTenant);

        // 切换到新租户上下文，初始化租户管理员账号
        using (CurrentTenant.Change(newTenant.Id))
        {
            var adminUser = await _userManager.FindByNameAsync("admin");
            var resetToken = await _userManager.GeneratePasswordResetTokenAsync(adminUser);
            await _userManager.ResetPasswordAsync(adminUser, resetToken, dto.Password);
            // 按需补充管理员邮箱确认、默认角色配置等逻辑
        }

        return new RegisterResultDto
        {
            TenantId = newTenant.Id,
            TenantName = newTenant.Name
        };
    }
}

• 3. 给公开注册接口增加安全防护，避免被恶意调用：
  • 增加图形/滑块验证码校验
  • 配置同IP单位时间注册次数限制
  • 增加租户名、邮箱敏感词/黑名单校验
  • 必要场景下增加邮箱/手机号验证码校验
• 4. 前端Blazor Wasm注册页放弃直接调用原ITenantAppService，改为调用你自定义的公开注册接口完成全流程。

注意：如果使用ABP商业版SaaS模块，不要直接修改原模块的权限配置或源码，所有自定义逻辑通过自定义服务实现，避免后续版本升级覆盖自定义改动。

内容的提问来源于stack exchange，提问作者Omer Faruk KAYA