.NET Core本地开发时如何绕过[Authorize(Roles)]角色鉴权校验

方案一：全局授权处理器（推荐，无需修改现有代码） #

这是.NET Core官方推荐的实现方式，不需要修改控制器上已有的[Authorize]特性，对业务代码无侵入：

步骤1：实现全局跳过授权的处理器 #

using Microsoft.AspNetCore.Authorization;

public class DebugAuthorizationHandler : IAuthorizationHandler
{
    public Task HandleAsync(AuthorizationHandlerContext context)
    {
        // 标记所有授权要求为验证通过
        foreach (var requirement in context.PendingRequirements)
        {
            context.Succeed(requirement);
        }
        return Task.CompletedTask;
    }
}

步骤2：在服务配置中注入 #

在Startup.cs的ConfigureServices方法（.NET 6+则在Program.cs）中添加如下逻辑，和你现有跳过认证的逻辑适配：

#if DEBUG
// DEBUG模式下注入全局放行的授权处理器，绕过所有[Authorize]校验
services.AddSingleton<IAuthorizationHandler, DebugAuthorizationHandler>();
#else
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
   .AddMicrosoftIdentityWebApi(Configuration.GetSection("AzureAd"));
#endif

你也可以不用依赖编译常量，改为根据运行环境判断，灵活性更高：

// 仅本地开发环境放行
if (env.IsDevelopment())
{
    services.AddSingleton<IAuthorizationHandler, DebugAuthorizationHandler>();
}
else
{
    services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
       .AddMicrosoftIdentityWebApi(Configuration.GetSection("AzureAd"));
}

方案二：自定义Authorize特性（兼容.NET Framework的使用习惯） #

如果你希望沿用之前重写特性的写法，可通过实现IAuthorizationFilter接口完成：

using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;

public class MyAuthorizeAttribute : Attribute, IAuthorizationFilter
{
    // 保留Roles属性，用法和原生特性一致
    public string Roles { get; set; }

    public void OnAuthorization(AuthorizationFilterContext context)
    {
#if DEBUG
        // DEBUG模式直接放行，不做校验
        return;
#endif
        // 非DEBUG模式执行原有角色校验逻辑
        if (!string.IsNullOrEmpty(Roles))
        {
            var user = context.HttpContext.User;
            var roles = Roles.Split(',', StringSplitOptions.TrimEntries | StringSplitOptions.RemoveEmptyEntries);
            if (!roles.Any(user.IsInRole))
            {
                context.Result = new ForbidResult();
            }
        }
    }
}

之后将控制器上的[Authorize(Roles = "Buyer")]替换为[MyAuthorize(Roles = "Buyer")]即可生效。

内容的提问来源于stack exchange，提问作者VR1256