ASP.NET Identity中如何获取声明最大值并通过策略实现多角色权限校验？

默认的多角色授权判定逻辑通常遵循Deny优先原则，只要存在任意一条对应权限的Deny声明就会拦截请求。要实现用户存在对应Allow声明时优先放行的需求，需要自定义授权策略的判定规则。

核心实现逻辑 #

调整权限判定优先级：只要匹配到至少一条对应操作的Allow声明，不管是否存在同权限的Deny声明，直接判定为授权通过。

以下以ASP.NET Core授权框架为例给出具体实现： #

1. 定义自定义授权要求

创建对应员工新增操作的授权要求标识：

public class EmployeeAddRequirement : IAuthorizationRequirement { }

2. 实现自定义授权处理程序

重写判定逻辑，调整优先级：

public class EmployeeAddHandler : AuthorizationHandler<EmployeeAddRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, EmployeeAddRequirement requirement)
    {
        // 提取当前用户所有Employee.Add类型的权限声明
        var relatedClaims = context.User.Claims.Where(c => c.Type == "Employee.Add").ToList();
        
        // 存在任意Allow声明直接放行
        if (relatedClaims.Any(x => x.Value.Equals("Allow", StringComparison.OrdinalIgnoreCase)))
        {
            context.Succeed(requirement);
            return Task.CompletedTask;
        }
        
        // 无Allow声明时判定授权失败
        context.Fail();
        return Task.CompletedTask;
    }
}

3. 注册策略和处理程序

在服务配置中添加授权策略注册：

// 注册授权策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AllowEmployeeAdd", policy =>
    {
        policy.Requirements.Add(new EmployeeAddRequirement());
    });
});

// 注册自定义授权处理程序
builder.Services.AddScoped<IAuthorizationHandler, EmployeeAddHandler>();

4. 绑定策略到业务接口

在新增员工的接口上应用对应策略即可：

[Authorize(Policy = "AllowEmployeeAdd")]
[HttpPost("employee/add")]
public async Task<IActionResult> AddEmployee(EmployeeCreateRequest request)
{
    // 业务实现
}

扩展适配方案 #

如果需要更灵活的冲突处理规则，也可以采用角色权重方案：

给不同角色设置权重数值，比如Admin权重为100，SysAdmin权重为80。权限冲突时，取权重更高的角色对应的权限声明作为判定依据，无需全局调整Allow/Deny优先级。

该逻辑同样适用于其他语言/框架的授权体系，只需要修改权限判定阶段的逻辑即可。

内容的提问来源于stack exchange，提问作者Mohammed Fouad