Blazor WASM基于查询字符串使用Authorize特性报CS0120错误如何解决？

错误原因 #

• C#特性（Attribute）的入参要求必须是编译时常量，你不能将运行时才能获取的实例成员（比如注入的NavigationManager的返回值）直接传入特性参数，这就是触发CS0120错误的根本原因。
• 原生的[Authorize]特性默认只支持常量配置的角色/策略，无法直接适配动态运行时的权限判断逻辑。

修复方案 #

推荐使用Blazor自定义授权策略实现动态查询字符串权限校验，具体步骤如下：

步骤1：定义授权需求和处理程序 #

using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Components;
using Microsoft.AspNetCore.WebUtilities;

// 自定义授权需求
public class QueryStringRoleRequirement : IAuthorizationRequirement
{
    // 查询字符串的键名，这里对应你的level
    public string QueryKey { get; }
    public QueryStringRoleRequirement(string queryKey) => QueryKey = queryKey;
}

// 授权逻辑处理程序
public class QueryStringRoleHandler : AuthorizationHandler<QueryStringRoleRequirement>
{
    private readonly NavigationManager _navigationManager;

    public QueryStringRoleHandler(NavigationManager navigationManager)
    {
        _navigationManager = navigationManager;
    }

    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, QueryStringRoleRequirement requirement)
    {
        // 解析当前地址的查询字符串
        var uri = new Uri(_navigationManager.Uri);
        QueryHelpers.ParseQuery(uri.Query).TryGetValue(requirement.QueryKey, out var roleFromQuery);
        
        // 同时保留Admin角色的兜底权限
        if (context.User.IsInRole("Admin") || 
            (!string.IsNullOrEmpty(roleFromQuery) && context.User.IsInRole(roleFromQuery)))
        {
            context.Succeed(requirement);
        }
        return Task.CompletedTask;
    }
}

步骤2：注册授权策略和服务 #

在项目的Program.cs中添加如下注册逻辑：

builder.Services.AddAuthorizationCore(options =>
{
    options.AddPolicy("DynamicRoleByQuery", policy =>
    {
        policy.Requirements.Add(new QueryStringRoleRequirement("level"));
    });
});
// 注册自定义授权处理程序
builder.Services.AddScoped<IAuthorizationHandler, QueryStringRoleHandler>();

步骤3：页面应用自定义授权策略 #

把原有的两个[Authorize]特性替换为自定义策略即可：

@attribute [Authorize(Policy = "DynamicRoleByQuery")]

轻量可选方案 #

如果仅单个页面需要该逻辑，也可以直接在页面生命周期中做权限校验，无权限时跳转到禁止页：

@inject NavigationManager NavManager
@inject AuthenticationStateProvider AuthProvider
@code {
    protected override async Task OnInitializedAsync()
    {
        var user = (await AuthProvider.GetAuthenticationStateAsync()).User;
        var uri = new Uri(NavManager.Uri);
        QueryHelpers.ParseQuery(uri.Query).TryGetValue("level", out var level);
        
        if(!user.IsInRole("Admin") && (string.IsNullOrEmpty(level) || !user.IsInRole(level)))
        {
            NavManager.NavigateTo("/access-denied");
        }
    }
}

内容的提问来源于stack exchange，提问作者Lucas Chan