如何实现不依赖特性的AuthorizeForScopes内联等效逻辑 支持配置动态Scope

你可以实现和[AuthorizeForScopes]行为100%等效、Scope值支持配置驱动的方案，不需要硬编码字符串，完美适配多环境部署要求。

核心逻辑说明 #

[AuthorizeForScopes]本质上实现了两个核心能力：

• 校验当前用户访问令牌中是否包含指定的Scope权限
• 当检测到用户缺少对应Scope时，自动触发微软身份平台的增量授权流程（引导用户完成Scope同意、自动重定向获取带正确Scope的新令牌），而不是直接返回403错误
  只要复用这套底层逻辑，不需要依赖特性标记就能实现完全一致的授权行为。

具体实现步骤 #

1. 拆分环境配置Scope值 #

将不同环境需要的Scope值写入对应环境的配置文件（如分环境的appsettings.Development.json、appsettings.Production.json），示例结构：

{
  "AzureAd": {
    "AuthorizationPolicies": {
      "BrowseController": {
        "Scopes": ["https://ourdomain.co.uk/us.theapi/access"]
      }
    }
  }
}

生产环境的配置文件中直接替换为生产应用注册对应的Scope值即可，不需要修改业务代码。

2. 动态注册等效授权策略 #

在应用启动的服务注册阶段，从配置中读取Scope值，复用Microsoft.Identity.Web内置的Scope校验逻辑注册授权策略——这里直接使用[AuthorizeForScopes]底层调用的ScopeAuthorizationRequirement组件，保证校验行为、增量授权挑战逻辑和原特性完全一致。
示例代码（Program.cs）：

// 完成AddMicrosoftIdentityWebApi基础配置后
builder.Services.AddAuthorization(options =>
{
    // 从配置读取Browse控制器所需的Scope集合
    var requiredScopes = builder.Configuration
        .GetSection("AzureAd:AuthorizationPolicies:BrowseController:Scopes")
        .Get<string[]>() ?? throw new InvalidOperationException("未配置Browse控制器对应的授权Scope");
    
    // 注册和原特性等效的授权策略
    options.AddPolicy("BrowseControllerPolicy", policy =>
    {
        // 复用AuthorizeForScopes内置的Scope校验规则，无自定义逻辑
        policy.Requirements.Add(new ScopeAuthorizationRequirement(requiredScopes, authorizedApplicationsPolicy: null));
    });
});

3. 替换原硬编码特性 #

将原控制器上的[AuthorizeForScopes]特性替换为引用动态注册的授权策略即可：

[Authorize(Policy = "BrowseControllerPolicy")]
public class BrowseController : Controller

注意事项与扩展 #

• 避免自行实现Scope校验逻辑：如果手动解析令牌中的Scope Claims做判断，会丢失增量授权的自动触发能力，必须复用内置的ScopeAuthorizationRequirement才能保证和原[AuthorizeForScopes]行为完全一致
• 批量策略注册：如果有多个控制器/Action需要不同的Scope，可在启动阶段批量遍历配置中所有的授权策略节点，循环自动注册对应策略，不需要为每个单独写注册代码，新增授权规则仅需修改配置即可
• 该方案完全保留原[AuthorizeForScopes]的全部能力：包括自动校验Scope、触发增量授权流程、适配多租户场景、处理条件访问策略要求等，不存在功能损失

内容的提问来源于stack exchange，提问作者Pat Long - Munkii Yebee