如何为采用Basic Authentication的ASP.NET Core Web API添加Role-Based Authorization？

角色授权的核心逻辑和认证方式无关，ASP.NET Core 授权中间件只校验当前身份携带的ClaimTypes.Role类型声明，你只需要在Basic认证成功后为用户身份添加对应的角色声明即可，具体步骤如下：

1. 扩展用户实体新增角色字段 #

修改你项目中的User用户实体类，新增角色属性，示例代码：

public class User
{
    public int Id { get; set; }
    public string FirstName { get; set; }
    public string LastName { get; set; }
    public string Username { get; set; }
    public string Password { get; set; }
    // 新增角色字段，可根据需求存储单个/多个角色
    public string Role { get; set; }
}

调整你的用户数据初始化逻辑，为测试用户分配角色，例如普通用户角色为User，管理员角色为Admin。

2. 认证流程中添加角色声明 #

找到你项目中自定义的BasicAuthenticationHandler认证处理类，在认证成功构造ClaimsIdentity的步骤中，新增角色类型的声明：

// 账号密码校验通过后构造用户身份声明
var claims = new List<Claim>
{
    new Claim(ClaimTypes.NameIdentifier, user.Id.ToString()),
    new Claim(ClaimTypes.Name, user.Username),
    // 新增角色声明，授权中间件会自动读取该声明做角色校验
    new Claim(ClaimTypes.Role, user.Role)
};

var identity = new ClaimsIdentity(claims, Scheme.Name);
var principal = new ClaimsPrincipal(identity);
return AuthenticateResult.Success(new AuthenticationTicket(principal, Scheme.Name));

如果需要支持单个用户绑定多个角色，为每个角色单独添加一条ClaimTypes.Role类型的声明即可。

3. 确认中间件配置顺序 #

检查.NET 5版本对应的Startup.cs中间件配置，确保顺序为 先启用认证，再启用授权，配置示例：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 其他中间件省略
    app.UseRouting();

    // 顺序不能调换
    app.UseAuthentication();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

服务注册部分无需额外修改，默认的授权服务已经支持角色校验逻辑。

4. 接口添加角色校验规则 #

直接用ASP.NET Core原生的[Authorize]属性即可配置角色校验规则：

• 接口仅要求登录，不校验角色：添加[Authorize]属性
• 接口仅允许管理员访问：添加[Authorize(Roles = "Admin")]属性
• 接口允许多个角色访问：添加[Authorize(Roles = "Admin,Operator")]属性，多个角色用英文逗号分隔

示例代码：

[ApiController]
[Route("[controller]")]
[Authorize] // 整个控制器所有接口都需要登录
public class UsersController : ControllerBase
{
    // 仅管理员可调用的删除接口
    [HttpDelete("{id}")]
    [Authorize(Roles = "Admin")]
    public IActionResult Delete(int id)
    {
        // 业务逻辑省略
        return Ok();
    }

    // 所有登录用户都可调用的查询接口
    [HttpGet("{id}")]
    public IActionResult GetById(int id)
    {
        // 业务逻辑省略
        return Ok();
    }
}

注意事项 #

• Basic Authentication 会明文传输账号密码，务必在HTTPS环境下使用，禁止生产环境走HTTP协议
• 角色名建议统一存到常量类中，避免硬编码拼写错误导致权限校验失效
• 如果需要更复杂的权限逻辑，可基于角色声明自定义授权政策实现

内容的提问来源于stack exchange，提问作者bmo