.NET Core 2中如何捕获授权策略验证失败的情况？

咱们可以从几个不同层面来捕获这个授权策略的验证失败，具体看你是想针对单个接口定制处理，还是全局统一拦截，或者在Handler内部记录细节：

1. 在控制器/动作方法中手动校验并捕获 #

如果想针对某个特定接口做个性化处理，最直接的方式是注入IAuthorizationService手动调用授权逻辑，这样能拿到明确的授权结果：

private readonly IAuthorizationService _authorizationService;

// 通过构造函数注入服务
public YourController(IAuthorizationService authorizationService)
{
    _authorizationService = authorizationService;
}

public async Task<IActionResult> YourProtectedAction()
{
    // 调用指定的授权策略，第三个参数是你定义的策略名称
    var authResult = await _authorizationService.AuthorizeAsync(User, null, "CompletedProfilePolicy");
    
    if (!authResult.Succeeded)
    {
        // 这里就是授权失败的分支，你可以返回403、引导完善资料的页面或者自定义JSON响应
        return Forbid(new AuthenticationProperties
        {
            RedirectUri = "/Account/CompleteProfile"
        });
        // 或者返回JSON提示：
        // return Json(new { success = false, message = "请先完善个人资料后再访问" });
    }

    // 授权通过后的业务逻辑
    return Ok("访问成功");
}

2. 全局统一处理所有授权失败 #

如果想避免在每个控制器重复写逻辑，可以通过自定义中间件统一拦截403状态码（授权失败的默认返回码）：
在Startup.cs的Configure方法里，放在UseAuthorization()之后添加这段中间件：

app.UseAuthorization();

// 自定义授权失败处理中间件
app.Use(async (context, next) =>
{
    await next();

    // 拦截403响应（已认证但未通过授权策略）
    if (context.Response.StatusCode == StatusCodes.Status403Forbidden)
    {
        // 重置响应内容，返回自定义统一结果
        context.Response.Clear();
        context.Response.ContentType = "application/json";
        await context.Response.WriteAsync("{\"message\":\"您的个人资料未完善，无法访问该功能\",\"code\":403}");
    }
});

这样所有授权失败的请求都会返回你定义的统一响应，不用每个接口单独处理。

3. 在授权Handler内部记录失败细节 #

如果想在CompletedProfileRequirement的Handler里就捕获失败原因（比如打日志），可以在调用context.Fail()时传入失败详情：

// 记得注入ILogger用于日志记录
private readonly ILogger<CompletedProfileRequirement> _logger;

public CompletedProfileRequirement(ILogger<CompletedProfileRequirement> logger)
{
    _logger = logger;
}

protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, CompletedProfileRequirement requirement)
{
    // 示例：检查是否存在FullName和Email声明
    var hasFullName = context.User.HasClaim(c => c.Type == "FullName");
    var hasEmail = context.User.HasClaim(c => c.Type == ClaimTypes.Email);

    if (!hasFullName || !hasEmail)
    {
        // 添加失败原因，后续手动调用授权时可通过authResult.Failure获取
        var failureReason = new AuthorizationFailureReason(this, 
            !hasFullName ? "缺少FullName声明" : "缺少Email声明");
        context.Fail(failureReason);
        
        // 记录日志便于排查问题
        var userId = context.User.FindFirstValue(ClaimTypes.NameIdentifier);
        _logger.LogWarning("用户ID {UserId} 授权失败：{Reason}", userId, failureReason.Message);
    }
    else
    {
        context.Succeed(requirement);
    }

    return Task.CompletedTask;
}

这样不管是手动调用授权还是用[Authorize]特性，都能在日志里看到具体的失败原因，方便后续排查。

内容的提问来源于stack exchange，提问作者jungos