.NET Core 多层级Authorize特性角色继承规则及配置方法咨询

问题1：三层级授权的实际生效逻辑 #

正确匹配逻辑2：所有层级角色规则取交集（AND逻辑）。
ASP.NET Core 授权管道的设计规则是：除[AllowAnonymous]特性外，所有作用到目标端点的授权规则（包括全局注册的授权过滤器、控制器标注的Authorize特性、端点标注的Authorize特性）会按从外到内的顺序依次执行校验，用户必须通过全部校验才能访问资源，不存在「就近层级覆盖外层配置」「不同层级角色合并为可选列表」的逻辑。
对应你给出的示例，访问Get端点的用户必须同时满足以下全部要求：

• 已完成身份认证
• 拥有MyRole1 或 MyRole2角色（全局策略MyPolicy的要求）
• 拥有MyRole3 或 MyRole4角色（控制器级Authorize特性的要求）
• 拥有MyRole5 或 MyRole6角色（端点级Authorize特性的要求）

另外两个逻辑的错误点：

• 逻辑1（全角色并集OR）：框架不会跨层级合并角色可选范围，每一层的角色要求是独立的校验门槛
• 逻辑3（最具体层级优先）：该规则仅对[AllowAnonymous]生效，普通授权特性不会屏蔽外层的授权要求。

问题2：单层级实现多角色组AND校验的方案 #

首先明确：单个[Authorize]特性中用逗号分隔的多个角色，默认是OR逻辑（满足任意一个即可通过该层校验）。如果要在同一层级实现「满足A组角色 且 满足B组角色」的AND逻辑，有两种成熟实现：

方案1：同层级叠加多个Authorize特性 #

同层级标注的多个Authorize特性默认是AND生效关系，直接叠加即可实现需求，示例代码如下：

// 第一个特性要求：拥有MyRole3或MyRole4
[Authorize(Roles = "MyRole3,MyRole4")]
// 第二个特性要求：必须拥有MyRole7
// 两个特性叠加后，校验逻辑为 (MyRole3|MyRole4) & MyRole7
[Authorize(Roles = "MyRole7")]
public class MyController : Controller
{
    // 控制器内接口逻辑
}

这种写法无需额外配置，适合简单的多角色组AND校验场景。

方案2：自定义专属授权策略 #

如果校验逻辑较复杂、或者需要在多个位置复用该规则，可以自定义授权策略，在策略中按顺序添加多组角色要求（同一个策略内多次调用RequireRole默认是AND关系），配置示例：

.AddAuthorization(options =>
{
    options.AddPolicy("MyControllerRequirePolicy", builder =>
    {
        builder.RequireAuthenticatedUser();
        // 第一组角色要求：MyRole3或MyRole4
        builder.RequireRole(new[]{"MyRole3", "MyRole4"});
        // 第二组角色要求：必须拥有MyRole7，和上一组要求为AND关系
        builder.RequireRole(new[]{"MyRole7"});
    });
});

配置完成后，直接在控制器层标注特性即可：

[Authorize(Policy = "MyControllerRequirePolicy")]
public class MyController : Controller
{
    // 控制器内接口逻辑
}

内容的提问来源于stack exchange，提问作者WAMozart