.NET Core 3.1 API基于团队状态的自定义授权返回403方案咨询

问题1：授权策略实现团队状态校验是否符合行业标准 #

完全符合。授权策略的设计初衷就是处理这类和身份、所属资源状态相关的访问控制逻辑，将团队状态校验放在授权层实现，和业务逻辑解耦，符合单一职责原则，是业内非常普遍的做法。

问题2：如何返回带自定义消息的403响应 #

你之前的写法问题在于AuthorizationHandler本身不负责构造响应，只负责输出授权结果，你可以通过自定义IAuthorizationMiddlewareResultHandler实现需求，步骤如下：

1. 首先修改AuthorizationHandler逻辑，增加团队禁用标记和豁免接口判断：
   先定义豁免接口的标记Attribute：

[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, AllowMultiple = false)]
public class ExemptTeamDisabledAttribute : Attribute
{
}

然后修改Handler代码：

public class UserHandler : AuthorizationHandler<UserRequirement>
{
    protected override async Task HandleRequirementAsync(AuthorizationHandlerContext context, UserRequirement requirement)
    {
        var authenticatedUser = GetUserFromClaims();
        var isTeamDisabled = !await TeamIsEnabled(authenticatedUser);
        // 获取当前请求的端点元数据，判断是否为豁免接口
        var endpoint = context.Resource as RouteEndpoint;
        var isExemptEndpoint = endpoint?.Metadata.OfType<ExemptTeamDisabledAttribute>().Any() ?? false;
        // 团队禁用且非豁免接口直接标记失败并加自定义标识
        if (isTeamDisabled && !isExemptEndpoint)
        {
            context.Items["TeamDisabled"] = true;
            context.Fail();
            return;
        }
        if (!await RoleIsAllowed())
        {
            context.Fail();
            return;
        }
        context.Succeed(requirement);
    }
}

2. 实现自定义授权结果处理器：

public class CustomAuthorizationResultHandler : IAuthorizationMiddlewareResultHandler
{
    private readonly AuthorizationMiddlewareResultHandler _defaultHandler = new();
    public async Task HandleAsync(RequestDelegate next, HttpContext context, AuthorizationPolicy policy, PolicyAuthorizationResult authorizeResult)
    {
        // 判断是团队禁用导致的授权失败
        if (authorizeResult.Forbidden && context.Items.ContainsKey("TeamDisabled"))
        {
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            // 可以自定义返回结构，加业务错误码方便调用方区分
            await context.Response.WriteAsJsonAsync(new 
            {
                Code = "TeamDisabled",
                Message = "您的团队已被禁用，请提交启用申请后再访问其他接口"
            });
            return;
        }
        // 其他授权结果走默认处理逻辑
        await _defaultHandler.HandleAsync(next, context, policy, authorizeResult);
    }
}

3. 注册自定义处理器到DI容器：

services.AddSingleton<IAuthorizationMiddlewareResultHandler, CustomAuthorizationResultHandler>();

最后只要把[ExemptTeamDisabled]打在允许团队禁用用户访问的接口上即可，豁免接口依然会走原来的授权逻辑校验身份合法性。

问题3：状态码选择是否合理 #

用403完全合理，403的语义就是服务器理解请求但拒绝授权，完全匹配你的场景。不需要更换其他状态码，你可以在返回体里增加自定义业务错误码（比如上面示例的Code = "TeamDisabled"），调用方通过业务码区分异常类型即可，比通过状态码区分更清晰也更易扩展。

关于实现方案选择 #

上面的IAuthorizationMiddlewareResultHandler就是最简单的方案，它本身就是ASP.NET Core授权中间件的扩展点，比自定义中间件、过滤器的侵入性更低，也不需要额外处理授权执行的时机问题，性能和可维护性都更好。

内容的提问来源于stack exchange，提问作者Mykola