如何在ASP.NET Core中实现最优细粒度权限控制？

嘿，基于你已经搭好的ASP.NET Core认证体系、只读预置权限和动态角色配置，我整理了几个适配你场景的细粒度权限控制最优方案，都是ASP.NET Core生态里成熟且易维护的做法：

1. 基于策略的授权（Policy-Based Authorization）——核心基础 #

这是ASP.NET Core官方推荐的细粒度授权方式，完美适配你只读预置权限的场景：

• 定义权限策略：把每个预置权限映射为一个授权策略。因为权限是只读的，你可以提前在Startup/Program.cs里注册所有策略：

  builder.Services.AddAuthorization(options =>
  {
      // 用常量类统一管理权限值，避免硬编码（推荐）
      options.AddPolicy(Permissions.OrdersView, 
          policy => policy.RequireClaim("Permission", Permissions.OrdersView));
      options.AddPolicy(Permissions.OrdersEdit, 
          policy => policy.RequireClaim("Permission", Permissions.OrdersEdit));
      // 其他预置权限依次添加...
  });
  

  这里的Permissions是你定义的常量类，把所有只读权限枚举进去：

  public static class Permissions
  {
      public const string OrdersView = "Orders.View";
      public const string OrdersEdit = "Orders.Edit";
      public const string ProductsCreate = "Products.Create";
      // 所有预置权限都放这
  }
  

• 动态关联角色与权限：因为角色是动态配置的，你可以在数据库里维护RolePermissions关联表（角色ID + 权限编码）。用户登录时，或者每次请求时，把该用户所属角色对应的所有权限加载出来，作为Claims附加到用户身份中。

• 在业务代码中应用：

  • 控制器/Action层面：用[Authorize(Policy = Permissions.OrdersView)]标记需要权限的接口
  • 视图层面：用@if (User.HasClaim("Permission", Permissions.OrdersView)) { /* 渲染有权限的内容 */ }
  • 服务层：注入IAuthorizationService手动验证权限

2. 动态权限加载：用IClaimsTransformation避免JWT膨胀 #

如果你的预置权限数量较多，把所有权限塞进JWT令牌会导致令牌过大，影响性能。这时候用IClaimsTransformation接口，在每次请求时动态加载用户的权限：

• 实现Claims转换类：

  public class PermissionClaimsTransformer : IClaimsTransformation
  {
      private readonly IRolePermissionRepository _rolePermissionRepo;
      private readonly IMemoryCache _cache;
  
      public PermissionClaimsTransformer(IRolePermissionRepository rolePermissionRepo, IMemoryCache cache)
      {
          _rolePermissionRepo = rolePermissionRepo;
          _cache = cache;
      }
  
      public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
      {
          var identity = (ClaimsIdentity)principal.Identity;
          // 避免重复添加权限Claims
          if (identity.HasClaim(c => c.Type == "Permission"))
              return principal;
  
          var userId = identity.FindFirst(ClaimTypes.NameIdentifier)?.Value;
          if (string.IsNullOrEmpty(userId))
              return principal;
  
          // 缓存权限，减少数据库查询（缓存时间和令牌过期时间对齐）
          var permissions = await _cache.GetOrCreateAsync($"user_permissions_{userId}", async entry =>
          {
              entry.SetSlidingExpiration(TimeSpan.FromHours(1));
              return await _rolePermissionRepo.GetPermissionsForUserAsync(userId);
          });
  
          foreach (var permission in permissions)
          {
              identity.AddClaim(new Claim("Permission", permission));
          }
  
          return principal;
      }
  }
  

• 注册服务：

  builder.Services.AddScoped<IClaimsTransformation, PermissionClaimsTransformer>();
  

3. 资源级细粒度控制：针对单个实体的权限验证 #

如果需要对具体资源（比如某条订单、某个用户）做权限控制（比如只有订单所属用户能编辑），结合IAuthorizationService和自定义授权处理程序：

• 定义资源授权策略：

  builder.Services.AddAuthorization(options =>
  {
      options.AddPolicy("CanEditOwnOrder", policy =>
          policy.Requirements.Add(new CanEditOwnOrderRequirement()));
  });
  

• 实现授权处理程序：

  public class CanEditOwnOrderHandler : AuthorizationHandler<CanEditOwnOrderRequirement, Order>
  {
      protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, 
          CanEditOwnOrderRequirement requirement, Order order)
      {
          // 检查当前用户是否是订单所属用户，同时拥有Orders.Edit权限
          var userId = context.User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
          if (userId == order.UserId && context.User.HasClaim("Permission", Permissions.OrdersEdit))
          {
              context.Succeed(requirement);
          }
          return Task.CompletedTask;
      }
  }
  

• 在业务代码中验证：

  var order = await _orderRepository.GetByIdAsync(orderId);
  var authResult = await _authorizationService.AuthorizeAsync(User, order, "CanEditOwnOrder");
  if (!authResult.Succeeded)
  {
      return Forbid();
  }
  

1. 用常量类统一管理所有只读权限，避免硬编码错误
2. 权限缓存和令牌过期时间对齐，减少数据库查询压力
3. 优先用策略授权做接口/页面级控制，资源级授权做实体级细粒度控制
4. 避免把大量权限塞进JWT，用ClaimsTransformation动态加载更灵活

内容的提问来源于stack exchange，提问作者Seale Rapolai