.NET 6中自定义角色认证错误提示返回所需角色名咨询

结论 #

完全可以实现。

默认自带的[Authorize(Roles = "GetAll")]特性在校验不通过时只会返回通用403状态码，不会携带缺失角色的具体提示，你可以通过自定义授权结果处理器实现需求，以下是不同场景的实现方案：

方案1：ASP.NET Core 推荐实现（无侵入，不需要修改现有特性） #

通过实现IAuthorizationMiddlewareResultHandler接口替换默认授权结果处理逻辑，自动提取接口要求的角色返回自定义提示：

1. 编写自定义授权处理器

using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Http;
using System.Linq;
using System.Net;
using System.Text.Json;

public class CustomRoleAuthResultHandler : IAuthorizationMiddlewareResultHandler
{
    private readonly AuthorizationMiddlewareResultHandler _defaultHandler = new();

    public async Task HandleAsync(RequestDelegate next, HttpContext context, 
        AuthorizationPolicy policy, PolicyAuthorizationResult authResult)
    {
        // 仅处理已登录但权限不足的场景
        if (authResult.Forbidden)
        {
            // 从授权策略中提取所有要求的角色
            var requiredRoles = policy.Requirements
                .OfType<RolesAuthorizationRequirement>()
                .SelectMany(req => req.AllowedRoles)
                .Distinct()
                .ToList();

            if (requiredRoles.Any())
            {
                context.Response.StatusCode = (int)HttpStatusCode.Forbidden;
                context.Response.ContentType = "application/json";
                // 自定义返回内容，明确告知所需角色
                var result = new
                {
                    status = 403,
                    msg = $"当前账号权限不足，需拥有【{string.Join("、", requiredRoles)}】角色才可访问",
                    required_roles = requiredRoles
                };
                await context.Response.WriteAsync(JsonSerializer.Serialize(result));
                return;
            }
        }

        // 未登录、授权通过等其余场景走默认逻辑
        await _defaultHandler.HandleAsync(next, context, policy, authResult);
    }
}

2. 在Program.cs中注册自定义处理器，替换默认实现

// 放在AddControllers/AddMvc之前注册即可
builder.Services.AddSingleton<IAuthorizationMiddlewareResultHandler, CustomRoleAuthResultHandler>();

注册完成后，你现有控制器上的[Authorize(Roles = "GetAll")]不需要做任何修改，角色校验不通过时就会自动返回你定义的提示内容。

方案2：传统.NET Framework 项目实现 #

如果你是用ASP.NET MVC/WebAPI 2（.NET Framework），可以通过自定义授权特性实现：

1. 编写自定义授权特性

public class RoleTipAuthorizeAttribute : AuthorizeAttribute
{
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        if (filterContext.HttpContext.User.Identity.IsAuthenticated)
        {
            // 已登录但角色不匹配，返回自定义提示
            filterContext.Result = new JsonResult(new
            {
                status = 403,
                msg = $"当前账号权限不足，需拥有【{Roles}】角色才可访问"
            })
            {
                StatusCode = (int)HttpStatusCode.Forbidden,
                JsonRequestBehavior = JsonRequestBehavior.AllowGet
            };
        }
        else
        {
            // 未登录场景走默认401逻辑
            base.HandleUnauthorizedRequest(filterContext);
        }
    }
}

2. 替换控制器上原有的授权特性

[HttpGet("getAll")]
[RoleTipAuthorize(Roles = "GetAll")]
public IActionResult GetAll()
{
    // 业务逻辑
}

注意事项 #

• 上述实现会自动识别接口配置的所有角色要求，比如配置Roles = "GetAll,Admin"时，会自动提示需要的角色范围，不需要每个接口硬编码提示内容。
• 逻辑已经明确区分401未登录和403权限不足两种场景，不会出现未登录时也提示缺失角色的问题。

内容的提问来源于stack exchange，提问作者SajjadZare