分层项目中MVC与Web API混合调用的权限管控位置咨询

好问题！这种MVC视图请求+Web API Ajax调用的混合场景，确实容易让人纠结权限校验的位置。结合你的项目架构，我给你梳理下最稳妥的实践：

绝对不能只依赖UI层校验 #

首先得明确：UI层的校验只能做体验优化，绝对不能作为权限控制的核心。因为前端的任何限制都可以被绕过——用户可以通过浏览器控制台修改DOM显示隐藏的按钮，也可以直接构造HTTP请求调用API。如果只在UI层做校验，相当于没设防，完全不安全。

核心校验放在后端，兼顾两种请求场景 #

你的项目有API和MVC控制器两种入口，最合理的做法是分层校验，兜底在业务层：

1. 入口层（API + MVC控制器）做前置拦截 #

• 对于MVC控制器：使用自定义的AuthorizeAttribute或者权限过滤器，在Action执行前校验用户是否有权限访问该分部视图或操作。比如检查用户的角色、权限标识，没有权限就直接返回403状态码或者跳转到无权限提示页面。

  [CustomAuthorize(Permission = "View_OrderPartial")]
  public ActionResult OrderPartial()
  {
      // 返回分部视图逻辑
  }
  

• 对于Web API：同样用自定义授权过滤器或者中间件，在请求到达API Action前校验权限。无权限的话直接返回403 Forbidden，让前端Ajax处理这个状态（比如弹出提示、跳转到登录页）。

  [CustomApiAuthorize(Permission = "Add_Order")]
  [HttpPost]
  public IActionResult AddOrder(OrderDto dto)
  {
      // 新增数据逻辑
  }
  

2. SERVICE层做兜底校验 #

不管是MVC控制器还是API，最终都会调用SERVICE层的业务逻辑。所以在SERVICE层的关键方法（比如新增、修改、删除）执行前，再做一次权限校验，作为最后一道防线。比如：

public async Task AddOrderAsync(OrderDto dto, Guid userId)
{
    // 兜底权限校验
    if (!await _permissionChecker.HasPermissionAsync(userId, "Add_Order"))
    {
        throw new UnauthorizedAccessException("无权限执行此操作");
    }
    // 后续业务逻辑
}

这样即使入口层的过滤器因为某些特殊场景漏掉了，业务层的校验也能阻止非法操作。

3. UI层配合做体验优化 #

UI层的作用是提升用户体验，避免用户做无用功：

• 渲染页面时，根据用户权限动态显示/隐藏按钮、菜单，比如没有新增权限就不显示新增按钮。
• 对于MVC路由，前端可以做路由拦截，用户访问无权限的页面时直接提示，不用等到后端返回。
• Ajax请求收到403状态码时，友好提示用户无权限，或者自动跳转到登录页。

总结 #

• 核心权限校验必须放在后端：API/MVC入口层做前置拦截，SERVICE层做兜底，双重保障。
• UI层只做体验优化：不要依赖它来做权限控制，只是让用户操作更顺畅。

内容的提问来源于stack exchange，提问作者hosam hemaily