Hot Chocolate结合Auth0鉴权授权时ScopeHandler未触发问题求解

问题根因 #

你当前遇到ScopeHandler不触发的核心原因是混淆了ASP.NET Core MVC体系和HotChocolate GraphQL体系的[Authorize]注解，MVC自带的注解仅作用于Controller管道，不会被GraphQL Resolver识别。该需求完全可实现，具体修复方案如下：

具体修复步骤 #

1. 替换[Authorize]注解的命名空间 #

把你Query类中引用的Microsoft.AspNetCore.Authorization.AuthorizeAttribute，替换为HotChocolate专属的授权注解：

// 必须引用HotChocolate专属的授权命名空间
using HotChocolate.AspNetCore.Authorization;

public class Query
{
    [Authorize(Policy = "admin")] // 该注解会被GraphQL管道正常识别
    public Domain.Beer GetBeer()
    {
        return new Domain.Beer(Guid.NewGuid().ToString(), "Test", "Test", 5.0, "IPA");
    }
}

2. 扩展配置（可选） #

如果你需要实现和REST场景中给整个Controller加[Authorize]相同的效果，给整个Query类所有Resolver统一加权限校验，有两种实现方式：

• 直接在Query类上加注解：

[Authorize(Policy = "admin")]
public class Query
{
    // 所有Resolver自动继承该授权规则
    public Domain.Beer GetBeer() => ...;
    public List<Domain.Beer> GetBeerList() => ...;
}

• 或者在GraphQL服务注册时配置：

services.AddGraphQLServer()
    .AddQueryType<Query>(d => d.Authorize("admin")) // 全局给Query类绑定admin策略校验
    .AddAuthorization();

3. 可选：强制GraphQL端点全局认证 #

如果要求所有GraphQL请求必须先完成身份认证才能访问，可在端点配置中增加全局校验规则，不用逐个给Resolver加注解：

app.UseEndpoints(endpoints =>
{
    endpoints.MapGraphQL().RequireAuthorization();
});

验证说明 #

你当前的Startup配置顺序（UseAuthentication在UseAuthorization之前、AddAuthorization已加入GraphQLServer配置）是正确的，不需要额外修改。修改完注解命名空间后，调用GraphQL接口时和REST场景一样在请求头中携带Authorization: Bearer {JWT令牌}，HasScopeHandler就会正常被触发执行。
如果使用Playground测试，可以在界面顶部的HTTP Headers tab中配置令牌：

{
  "Authorization": "Bearer xxx.yyy.zzz"
}

内容的提问来源于stack exchange，提问作者Kryptor