ASP.NET Core MVC中用户角色存储与授权的正确实现方式

硬编码角色字符串的可行性与弊端 #

你当前直接在[Authorize]特性中写死角色字符串的写法可以正常运行，但不属于最佳实践，存在明显的维护风险：

• 没有编译时校验，拼写错误（比如把Admin写成Admim）不会在编译阶段报错，只有运行时访问接口才会发现权限异常
• 后续调整角色名称、增减需要匹配的角色时，需要手动修改所有用到该字符串的[Authorize]特性，容易遗漏出错，维护成本高

枚举/常量类替代方案 #

用枚举存储角色是完全可行的方案，你也可以选择更适配该场景的静态常量类来统一管理角色，避免硬编码问题：

注意：特性参数要求是编译时常量，不能直接调用枚举的ToString()方法，需要配合nameof关键字使用。

示例常量类定义：

public static class AppRoles
{
    public const string Admin = nameof(Admin);
    public const string Supervisor = nameof(Supervisor);
    public const string SeniorContributor = nameof(SeniorContributor);
    public const string Contributor = nameof(Contributor);
    public const string SeniorConsumer = nameof(SeniorConsumer);
    public const string Consumer = nameof(Consumer);
    // C# 10及以上版本支持常量插值，可以预定义常用的角色组合
    public const string ContributorAndAbove = $"{Admin},{Supervisor},{SeniorContributor},{Contributor}";
    public const string AllRoles = $"{ContributorAndAbove},{SeniorConsumer},{Consumer}";
}

改造后的特性写法：

[Authorize(Roles = AppRoles.AllRoles)]
public async Task<IActionResult> Index() 
{
    ..
}

[Authorize(Roles = AppRoles.ContributorAndAbove)]
public async Task<IActionResult> Edit(int Id) 
{
    ..
}

[Authorize(Roles = AppRoles.Admin)]
public async Task<IActionResult> DeleteConfirmed(int Id) 
{
    ..
}

如果更喜欢用枚举存储角色，直接用nameof(RoleEnum.Admin)的方式获取常量字符串即可，和常量类效果一致。

官方推荐最佳实践：基于策略的授权 #

当角色组合多、权限逻辑复杂的时候，更推荐使用ASP.NET Core原生的策略授权模式，把权限逻辑和业务代码完全解耦：
首先在Program.cs中统一配置权限策略：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AllowAllUsers", policy => 
        policy.RequireRole(AppRoles.Admin, AppRoles.Supervisor, AppRoles.SeniorContributor, AppRoles.Contributor, AppRoles.SeniorConsumer, AppRoles.Consumer));
    
    options.AddPolicy("AllowContributorAndAbove", policy =>
        policy.RequireRole(AppRoles.Admin, AppRoles.Supervisor, AppRoles.SeniorContributor, AppRoles.Contributor));
    
    options.AddPolicy("AllowOnlyAdmin", policy =>
        policy.RequireRole(AppRoles.Admin));
});

改造后的特性写法：

[Authorize(Policy = "AllowAllUsers")]
public async Task<IActionResult> Index() 
{
    ..
}

[Authorize(Policy = "AllowContributorAndAbove")]
public async Task<IActionResult> Edit(int Id) 
{
    ..
}

[Authorize(Policy = "AllowOnlyAdmin")]
public async Task<IActionResult> DeleteConfirmed(int Id) 
{
    ..
}

这种方式的优势是权限逻辑完全统一管理，后续如果需要调整某个权限对应的角色、甚至增加更复杂的权限判断规则（比如同时要求角色+指定声明、动态校验用户状态等），只需要修改策略定义即可，不需要动任何控制器业务代码。

内容的提问来源于stack exchange，提问作者Pரதீப்