ASP.NET Core中如何在服务/授权处理器中获取路由数据？

我太懂你现在卡的点了——之前在构造函数里用IHttpContextAccessor拿不到RouteData，其实是个很常见的误区：Handler一般是单例注册的，构造函数在应用启动时就执行了，那时候根本没有请求上下文，自然拿不到当前请求的路由数据！得换个地方去拿才行。

下面给你一步步捋清楚正确的实现方式：

1. 先注册IHttpContextAccessor服务 #

ASP.NET Core默认没注册这个服务，所以第一步要在Program.cs里补上：

builder.Services.AddHttpContextAccessor();

2. 在RecordOwnerHandler中正确注入并使用 #

把IHttpContextAccessor注入到构造函数存起来，然后在处理授权逻辑的HandleRequirementAsync方法里，再去获取当前请求的路由参数——这时候请求上下文已经绑定好了：

public class RecordOwnerHandler : AuthorizationHandler<RecordOwnerRequirement>
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    // 构造函数注入IHttpContextAccessor（只是存起来，别在这里拿HttpContext！）
    public RecordOwnerHandler(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, RecordOwnerRequirement requirement)
    {
        var httpContext = _httpContextAccessor.HttpContext;
        if (httpContext == null)
        {
            // 没有请求上下文，直接拒绝授权
            context.Fail();
            return Task.CompletedTask;
        }

        // 从RouteData里提取record id，注意参数名要和路由定义的完全一致
        if (!httpContext.Request.RouteData.Values.TryGetValue("recordId", out var recordIdValue))
        {
            // 路由里找不到目标参数，拒绝授权
            context.Fail();
            return Task.CompletedTask;
        }

        // 把参数转换成你业务需要的类型（比如Guid、int）
        if (!Guid.TryParse(recordIdValue.ToString(), out Guid recordId))
        {
            context.Fail();
            return Task.CompletedTask;
        }

        // 这里写你的核心业务逻辑：验证当前用户是否是该记录的所有者
        var currentUserId = context.User.FindFirstValue(ClaimTypes.NameIdentifier);
        bool isOwner = CheckUserOwnsRecord(currentUserId, recordId); // 替换成你的实际验证方法

        if (isOwner)
        {
            context.Succeed(requirement);
        }
        else
        {
            context.Fail();
        }

        return Task.CompletedTask;
    }

    // 示例：替换成你实际的数据库查询/验证逻辑
    private bool CheckUserOwnsRecord(string userId, Guid recordId)
    {
        // 比如从数据库查询记录的所有者ID，和当前用户ID比对
        return true;
    }
}

3. 注册你的Handler和授权策略 #

最后别忘了在Program.cs里把Handler和对应的策略注册到DI容器：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("RecordOwner", policy =>
        policy.Requirements.Add(new RecordOwnerRequirement()));
});

// 授权Handler一般注册为单例即可
builder.Services.AddSingleton<IAuthorizationHandler, RecordOwnerHandler>();

几个关键注意点 #

• 路由参数名必须完全匹配：比如你的路由是[Route("api/records/{recordId}")]，那代码里就得用"recordId"去取，大小写也要对应
• 一定要处理参数不存在、类型转换失败的情况，避免空引用或格式错误异常
• 如果你的业务场景是MVC/Razor Pages，也可以通过context.Resource获取AuthorizationFilterContext来拿到路由数据，但用IHttpContextAccessor的方式更通用，适配更多场景

这样应该就能顺利拿到路由里的record ID，完成基于所有者的授权验证了！

内容的提问来源于stack exchange，提问作者NightOwl888