如何在Admin Controller所有路由上统一执行权限验证以消除代码重复？

针对你遇到的每个Admin Action都要重复写用户验证和权限检查的问题，ASP.NET（Core）提供了几个优雅的方式，能帮你彻底消除重复代码，让逻辑更整洁。下面是最常用的几个方案：

方案1：自定义Action Filter（适用于ASP.NET MVC/Core） #

Action Filter相当于一个“前置钩子”，可以在所有Action执行前自动触发逻辑。你把管理员验证逻辑封装到Filter里，然后给整个Admin Controller加上这个Filter，所有Action就都会自动跑验证了。

第一步：写自定义Filter类 #

public class AdminAuthorizationFilter : IActionFilter
{
    public void OnActionExecuting(ActionExecutingContext context)
    {
        // 把你原来的验证逻辑搬过来就行
        var httpContext = context.HttpContext;
        var user = Systems.Users.GetUser(httpContext);
        
        if (!Systems.Users.IsValid(user) || !Systems.Users.IsPermission(user, Models.User.EUPermissions.Admin))
        {
            // 验证不通过就返回Error404页面
            context.Result = new ViewResult { ViewName = "Error404" };
        }
    }

    public void OnActionExecuted(ActionExecutedContext context)
    {
        // 这里是Action执行后的逻辑，不需要的话留空就好
    }
}

第二步：给Admin Controller加上Filter #

如果是ASP.NET Core，你可以用[ServiceFilter]（需要先把Filter注册为服务），直接加到Controller类上：

[ServiceFilter(typeof(AdminAuthorizationFilter))]
public class AdminController : Controller
{
    public IActionResult References()
    {
        // 现在不用再写验证了，直接处理业务逻辑就行
        return View();
    }

    // 其他所有Action都会自动触发验证，不用重复写
    public IActionResult Dashboard()
    {
        return View();
    }
}

别忘了在Startup.cs里注册Filter服务：

services.AddScoped<AdminAuthorizationFilter>();

如果是传统ASP.NET MVC，你可以直接用[AdminAuthorizationFilter]，然后在FilterConfig里配置一下就行。

方案2：重写Controller的OnActionExecuting方法 #

这个方案更简单，因为你的验证逻辑只在AdminController里用，直接重写控制器的OnActionExecuting方法就行——这个方法本来就是所有Action执行前会自动调用的。

public class AdminController : Controller
{
    protected override void OnActionExecuting(ActionExecutingContext context)
    {
        // 先调用基类的方法，别忘咯
        base.OnActionExecuting(context);
        
        // 把原来的验证逻辑放这里
        var user = Systems.Users.GetUser(HttpContext);
        if (!Systems.Users.IsValid(user) || !Systems.Users.IsPermission(user, Models.User.EUPermissions.Admin))
        {
            context.Result = new ViewResult { ViewName = "Error404" };
        }
    }

    public IActionResult References()
    {
        return View();
    }

    // 其他Action完全不用管验证的事了
}

这个方案零额外依赖，代码量最少，特别适合你的场景。

方案3：Policy-Based授权（ASP.NET Core推荐） #

如果是ASP.NET Core项目，更推荐用官方的授权系统，通过定义Admin策略来统一管理权限。这种方式更符合框架设计理念，扩展性也更强。

第一步：在Startup.cs里配置Admin策略 #

public void ConfigureServices(IServiceCollection services)
{
    services.AddControllersWithViews();
    
    // 定义一个名为"Admin"的授权策略
    services.AddAuthorization(options =>
    {
        options.AddPolicy("Admin", policy =>
        {
            policy.RequireAssertion(context =>
            {
                var user = Systems.Users.GetUser(context.HttpContext);
                return Systems.Users.IsValid(user) && Systems.Users.IsPermission(user, Models.User.EUPermissions.Admin);
            });
        });
    });
}

第二步：给AdminController加授权特性 #

[Authorize(Policy = "Admin")]
public class AdminController : Controller
{
    public IActionResult References()
    {
        return View();
    }

    // 所有Action都会自动应用这个Admin策略
}

默认情况下，验证不通过会跳转到登录页，如果你想跳转到Error404，可以自定义授权失败的处理逻辑，比如加个Filter或者配置IAuthorizationMiddlewareResultHandler。

选择建议 #

• 要是你只在AdminController里用这个验证逻辑，优先选方案2，简单直接，代码最少；
• 要是以后可能在其他控制器也用到相同验证，选方案1，复用性强；
• 要是ASP.NET Core项目，推荐选方案3，符合官方规范，扩展性更好。

内容的提问来源于stack exchange，提问作者Dan