如何为ASP.NET Core Web API的特定Controller覆盖全局授权策略

首先，你完全可以通过在目标控制器上使用[Authorize]特性并指定自定义策略来覆盖全局的授权规则，而不用完全放开匿名访问。具体可以按以下步骤来操作：

第一步：定义你需要的新授权策略 #

先在AddAuthorization配置里添加你想要的新策略，比如假设你想给某个控制器设置一个只需要认证用户，不需要特定Scope和Role的策略，就可以这样写：

services.AddAuthorization(options =>
{
    // 你的全局ApiScope策略
    options.AddPolicy("ApiScope", policy =>
    {
        policy.RequireAuthenticatedUser();
        policy.RequireClaim("scope", "my_api");
        policy.RequireRole("User");
    });

    // 为特定控制器定义的新策略
    options.AddPolicy("SpecialControllerPolicy", policy =>
    {
        policy.RequireAuthenticatedUser();
        // 这里可以根据你的需求添加其他规则，比如不同的Claim、Role，或者什么额外要求都没有
    });
});

第二步：在目标控制器上应用新策略 #

接下来，在你想要覆盖全局策略的控制器上，添加[Authorize]特性并指定这个新策略的名称，这样这个控制器就会优先使用你定义的新策略，而忽略全局的ApiScope策略了：

[Authorize(Policy = "SpecialControllerPolicy")]
public class SpecialController : ControllerBase
{
    // 你的控制器方法
}

为什么这个方法有效？ #

ASP.NET Core的授权系统会优先使用控制器/Action上显式指定的授权策略，当你在控制器上标记了[Authorize(Policy = "...")]时，它就不会再继承全局的RequireAuthorization配置了，完美符合你想要的“替换全局策略而不是完全关闭授权”的需求。

如果你的需求是某个控制器只需要认证用户，不需要额外的Scope或Role，也可以直接用[Authorize]（不指定Policy），这时候会使用默认的授权策略（只要求已认证），同样能覆盖全局的ApiScope策略。

备注：内容来源于stack exchange，提问作者Dimitris Maragkos