ServiceStack中用户多组织多角色切换的最佳实现方案问询

嘿，这个多组织多角色的场景在ServiceStack里其实挺常见的，我来分享下实践下来比较顺手的方案，还有你关心的Dictionary适用性问题～

核心就是把用户的所有组织-角色映射存在会话里，切换组织时只更新当前会话的「活跃组织ID」，后续权限验证都基于这个活跃组织对应的角色来做。

1. 扩展AuthUserSession存储组织角色映射 #

首先要扩展ServiceStack的AuthUserSession，把用户的组织角色映射和当前活跃组织ID存进去。这里用Dictionary<string, UserRole>完全合适——因为我们需要快速根据组织ID查找对应角色，Dictionary的O(1)查找效率刚好匹配这个需求，而且ServiceStack的默认序列化器（JSV/JSON）对Dictionary的支持很好，不用担心序列化问题。

示例代码：

// 定义角色枚举
public enum UserRole { Admin, Member }

// 自定义会话类
public class CustomUserSession : AuthUserSession
{
    // Key: 组织ID，Value: 该组织下的角色
    public Dictionary<string, UserRole> OrganizationRoles { get; set; } = new();
    // 当前正在访问的组织ID
    public string CurrentOrganizationId { get; set; }
}

2. 实现组织切换服务 #

用户登录后，需要一个专门的服务来处理组织切换逻辑——本质就是更新会话里的CurrentOrganizationId，同时要验证用户确实属于目标组织：

// 切换组织的请求DTO
public class SwitchOrganization : IReturn<SwitchOrganizationResponse>
{
    public string OrganizationId { get; set; }
}

// 响应DTO
public class SwitchOrganizationResponse : IHasResponseStatus
{
    public ResponseStatus ResponseStatus { get; set; }
    public bool Success { get; set; }
}

// 组织服务实现
public class OrganizationServices : Service
{
    public async Task<object> Any(SwitchOrganization request)
    {
        var session = SessionAs<CustomUserSession>();
        
        // 验证用户是否属于目标组织
        if (!session.OrganizationRoles.ContainsKey(request.OrganizationId))
        {
            return new SwitchOrganizationResponse
            {
                Success = false,
                ResponseStatus = new ResponseStatus { Message = "你不属于这个组织哦" }
            };
        }
        
        // 更新当前组织ID并保存会话
        session.CurrentOrganizationId = request.OrganizationId;
        await session.SaveSessionAsync(Request);
        
        return new SwitchOrganizationResponse { Success = true };
    }
}

3. 基于当前组织角色的权限验证 #

接下来要实现权限控制，确保只有对应角色的用户能访问特定服务。推荐用自定义请求过滤器，这样可以全局或针对特定服务复用：

// 自定义权限过滤器：要求用户在当前组织拥有指定角色
public class RequireOrganizationRoleAttribute : RequestFilterAttribute
{
    private readonly UserRole _requiredRole;
    public RequireOrganizationRoleAttribute(UserRole requiredRole) => _requiredRole = requiredRole;

    public override void Execute(IRequest req, IResponse res, object requestDto)
    {
        var session = req.SessionAs<CustomUserSession>();
        
        // 检查是否已选择组织
        if (string.IsNullOrEmpty(session.CurrentOrganizationId))
        {
            res.StatusCode = (int)HttpStatusCode.Unauthorized;
            res.EndRequest();
            return;
        }
        
        // 检查当前组织的角色是否符合要求
        if (!session.OrganizationRoles.TryGetValue(session.CurrentOrganizationId, out var userRole) 
            || userRole != _requiredRole)
        {
            res.StatusCode = (int)HttpStatusCode.Forbidden;
            res.EndRequest();
            return;
        }
    }
}

// 使用示例：只有当前组织的管理员才能访问这个服务
[RequireOrganizationRole(UserRole.Admin)]
public class ManageOrganizationUsers : IReturn<ManageOrganizationUsersResponse>
{
    // 请求字段，比如组织ID、用户ID等
}

4. 额外的最佳实践 #

• 登录预加载：用户登录成功后，从数据库一次性加载所有组织-角色映射到会话的OrganizationRoles里，避免每次切换组织都查库。
• 前端状态同步：前端要保存当前组织的ID（比如存在localStorage或Cookie），切换时调用SwitchOrganization服务即可，后续请求会自动使用会话里的当前组织ID。
• 组织信息缓存：如果组织名称等基础信息不常变，可以把这些信息也存在会话里，前端切换组织时不用再单独查接口获取组织名称。

内容的提问来源于stack exchange，提问作者s0dz