ASP.NET Core授权控制咨询：多项目员工系统接口数据权限过滤

这是企业系统里非常常见的权限控制场景，我结合ASP.NET Core的最佳实践给你几个可行的实现方案，你可以根据自己的架构选择：

这种方式把权限校验逻辑融入框架的授权体系，和业务逻辑分离，还能复用在其他需要项目权限的接口上。

1. 定义授权要求
   先创建一个空的授权要求类，用来标记我们的自定义权限规则：

public class ProjectAccessRequirement : IAuthorizationRequirement
{
    // 后续如果需要扩展（比如区分管理员/普通成员权限），可以在这里加参数
}

2. 实现授权处理程序
   这个类负责实际校验用户和项目的关联关系，需要注入DbContext来查询数据，同时通过IHttpContextAccessor获取路由参数和当前用户信息：

public class ProjectAccessHandler : AuthorizationHandler<ProjectAccessRequirement>
{
    private readonly AppDbContext _dbContext;
    private readonly IHttpContextAccessor _httpContextAccessor;

    public ProjectAccessHandler(AppDbContext dbContext, IHttpContextAccessor httpContextAccessor)
    {
        _dbContext = dbContext;
        _httpContextAccessor = httpContextAccessor;
    }

    protected override async Task HandleRequirementAsync(AuthorizationHandlerContext context, ProjectAccessRequirement requirement)
    {
        // 从路由中提取项目ID
        if (!_httpContextAccessor.HttpContext!.Request.RouteValues.TryGetValue("id", out var routeId) ||
            !int.TryParse(routeId.ToString(), out var projectId))
        {
            context.Fail();
            return;
        }

        // 从Token的Claim中获取当前用户ID
        var userIdClaim = context.User.FindFirst(ClaimTypes.NameIdentifier);
        if (userIdClaim == null || !int.TryParse(userIdClaim.Value, out var userId))
        {
            context.Fail();
            return;
        }

        // 校验用户是否关联该项目（直接查中间表性能更优，不用加载完整实体）
        var hasAccess = await _dbContext.UserProjects
            .AnyAsync(up => up.UserId == userId && up.ProjectId == projectId);

        if (hasAccess)
        {
            context.Succeed(requirement);
        }
        else
        {
            context.Fail();
        }
    }
}

3. 注册授权服务
   在Program.cs（或Startup.cs）里把自定义策略和处理程序注册到DI容器：

// .NET 6+ 写法
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("ProjectAccess", policy =>
        policy.Requirements.Add(new ProjectAccessRequirement()));
});

builder.Services.AddScoped<IAuthorizationHandler, ProjectAccessHandler>();
builder.Services.AddHttpContextAccessor(); // 必须注册这个才能获取HttpContext

4. 在接口上应用策略
   给你的项目详情接口加上授权策略标记：

[Authorize(Policy = "ProjectAccess")]
[HttpGet("{id}")]
public async Task<IActionResult> GetProject(int id)
{
    var project = await _dbContext.Projects.Include(p => p.Users).FirstOrDefaultAsync(p => p.Id == id);
    if (project == null)
    {
        return NotFound();
    }
    return Ok(project);
}

如果觉得授权策略有点重，也可以用动作过滤器在接口执行前做权限校验：

1. 实现动作过滤器

public class ProjectAccessFilter : IAsyncActionFilter
{
    private readonly AppDbContext _dbContext;
    private readonly IHttpContextAccessor _httpContextAccessor;

    public ProjectAccessFilter(AppDbContext dbContext, IHttpContextAccessor httpContextAccessor)
    {
        _dbContext = dbContext;
        _httpContextAccessor = httpContextAccessor;
    }

    public async Task OnActionExecutionAsync(ActionExecutingContext context, ActionExecutionDelegate next)
    {
        // 从接口参数中获取项目ID
        if (!context.ActionArguments.TryGetValue("id", out var idArg) ||
            !int.TryParse(idArg.ToString(), out var projectId))
        {
            context.Result = new BadRequestResult();
            return;
        }

        // 获取当前用户ID
        var userIdClaim = _httpContextAccessor.HttpContext!.User.FindFirst(ClaimTypes.NameIdentifier);
        if (userIdClaim == null || !int.TryParse(userIdClaim.Value, out var userId))
        {
            context.Result = new UnauthorizedResult();
            return;
        }

        var hasAccess = await _dbContext.UserProjects
            .AnyAsync(up => up.UserId == userId && up.ProjectId == projectId);

        if (!hasAccess)
        {
            context.Result = new ForbidResult();
            return;
        }

        // 权限校验通过，继续执行接口逻辑
        await next();
    }
}

2. 注册并使用过滤器

// Program.cs 注册过滤器
builder.Services.AddScoped<ProjectAccessFilter>();

// 接口上标记使用过滤器
[Authorize]
[ServiceFilter(typeof(ProjectAccessFilter))]
[HttpGet("{id}")]
public async Task<IActionResult> GetProject(int id)
{
    // 业务逻辑代码
}

不管用上面哪种方案，都建议在数据查询层面也加上用户过滤，从根源上防止数据泄露：

封装一个专用的查询方法：

public async Task<Project?> GetProjectForUserAsync(int projectId, int userId)
{
    return await _dbContext.Projects
        .Include(p => p.Users)
        .FirstOrDefaultAsync(p => p.Id == projectId && p.Users.Any(u => u.Id == userId));
}

然后在接口中调用这个方法：

[Authorize]
[HttpGet("{id}")]
public async Task<IActionResult> GetProject(int id)
{
    var userIdClaim = User.FindFirst(ClaimTypes.NameIdentifier);
    if (userIdClaim == null || !int.TryParse(userIdClaim.Value, out var userId))
    {
        return Unauthorized();
    }

    var project = await _dbContext.GetProjectForUserAsync(id, userId);
    if (project == null)
    {
        // 这里返回NotFound比Forbidden更安全，避免泄露系统中是否存在该项目
        return NotFound();
    }
    return Ok(project);
}

• Token配置：确保生成JWT Token时，把用户ID存入ClaimTypes.NameIdentifier类型的Claim中，这样才能从HttpContext.User里获取到。
• 性能优化：直接查询多对多中间表（比如UserProjects）比加载Project和User实体的性能更好，尽量用这种方式做权限校验。
• 错误返回策略：如果不想让用户知道某个项目是否存在，返回404；如果需要明确告知用户无权限，返回403。

内容的提问来源于stack exchange，提问作者Caio Sampaio