多租户Web API授权方案选型咨询：路由参数vs令牌携带租户ID

我太懂你现在的痛点了——每个Controller里都重复写租户授权逻辑，不仅代码冗余得离谱，还容易因为疏忽漏掉验证，维护起来简直是个噩梦。你提到的「把公司ID移入访问令牌」的思路确实有可取之处，但咱们得把利弊都掰扯清楚，再看看有没有更贴合你场景的方案。

方案一：将公司ID嵌入访问令牌 #

核心优点 #

• 实现成本极低：生成令牌时直接把CompanyId作为Claim（声明）加进去，后续授权逻辑里直接从HttpContext.User.Claims读取就行，不用再反复解析路由参数。
• 彻底消除重复代码：把授权逻辑封装成自定义IAuthorizationHandler或者全局过滤器，一次配置全项目生效，不用每个Controller都写一遍校验逻辑。
• 降低篡改风险：如果用户手动修改路由里的公司ID，令牌里的声明和路由不一致时直接拦截，比单纯依赖路由参数更安全。

潜在坑点 #

• 租户切换不友好：如果同一个用户需要访问多个租户（比如管理员账号），每次切换都得重新获取令牌，用户体验会打折扣。
• 令牌体积膨胀：虽然单个CompanyId占不了多少空间，但如果后续要加更多租户相关声明，令牌可能会越来越大，小幅影响请求性能。
• 信息同步延迟：如果租户信息变更（比如公司ID修改），已经发出的令牌里的旧ID不会自动更新，得等令牌过期或者强制刷新，可能导致短暂的授权异常。

方案二：基于路由参数的集中式授权（另一种你可能没细化的方向） #

如果你不想动令牌体系，其实也可以把路由参数提取+授权逻辑彻底集中起来：

实现思路 #

1. 写一个自定义的IAuthorizationFilter或者ActionFilterAttribute，在过滤器里自动从路由（比如routeData.Values["companyId"]）提取当前请求的租户ID。
2. 把核心授权逻辑（比如验证当前用户是否有权访问该公司）封装到独立服务（比如ITenantAuthorizationService）里，过滤器直接调用这个服务做校验。
3. 全局注册过滤器，或者用[Authorize]结合策略授权，把租户验证作为授权策略的一部分，给需要的Controller/Action加属性就行。

核心优点 #

• 租户切换灵活：用户不用重新获取令牌，只要有权限，直接修改路由参数就能切换租户，体验更顺畅。
• 令牌保持轻量化：不用额外添加租户声明，避免令牌体积变大的问题。
• 验证实时性高：每次请求都从路由取ID并实时校验，不会因为令牌里的旧数据导致授权异常。

潜在坑点 #

• 路由规范要求高：得确保所有租户相关路由都用统一的参数名（比如companyId），否则过滤器可能取不到值，还要做兼容处理。
• 需防参数篡改：虽然授权逻辑会校验，但还是得在过滤器里做严格的参数格式校验，防止非法参数传入。

我的针对性建议 #

• 如果你的用户大多只属于一个租户，或者切换租户的场景极少，那方案一（令牌嵌入CompanyId）是最优解，实现快、安全性高。可以配合策略授权，比如定义TenantAccess策略，在策略里验证令牌中的CompanyId和请求资源的租户ID是否一致。
• 如果你的用户经常需要切换多个租户，那方案二更合适，配合集中式授权服务，既能消除重复代码，又能保证用户体验。

给你贴个方案一的简化代码示例参考：

// 生成JWT令牌时添加CompanyId声明
var claims = new List<Claim>
{
    new Claim(ClaimTypes.NameIdentifier, user.Id.ToString()),
    new Claim("CompanyId", user.CompanyId.ToString())
};

// 注册自定义授权策略
services.AddAuthorization(options =>
{
    options.AddPolicy("TenantAccess", policy =>
        policy.RequireClaim("CompanyId")
              .AddRequirements(new TenantAccessRequirement()));
});

// 实现租户授权逻辑的Handler
public class TenantAccessHandler : AuthorizationHandler<TenantAccessRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, TenantAccessRequirement requirement)
    {
        // 从路由获取请求的CompanyId
        var filterContext = context.Resource as AuthorizationFilterContext;
        if (!filterContext.RouteData.Values.TryGetValue("companyId", out var routeCompanyId))
        {
            context.Fail();
            return Task.CompletedTask;
        }

        // 从令牌获取用户绑定的CompanyId
        var userCompanyId = context.User.FindFirstValue("CompanyId");
        if (userCompanyId == routeCompanyId.ToString())
        {
            context.Succeed(requirement);
        }
        else
        {
            context.Fail();
        }

        return Task.CompletedTask;
    }
}

之后只要给需要租户授权的Controller/Action加上[Authorize(Policy = "TenantAccess")]，就能自动完成校验，再也不用重复写代码了。

内容的提问来源于stack exchange，提问作者Andrew Williamson