ASP.Net Core 2：如何动态禁用默认安全机制适配测试与开发？

我之前也碰到过一模一样的需求——既要在生产环境严格使用ASP.NET Core 2默认的基于策略的授权+Azure AD JWT Bearer认证，又要在本地开发、自动化集成测试这些场景下灵活跳过或模拟这套安全机制。下面是我实践下来可行的方案，分步骤拆解：

1. 用环境变量区分运行场景 #

首先核心思路是根据当前运行环境来切换认证和授权逻辑，ASP.NET Core本身就提供了环境判断的能力，我们可以直接利用它。

在Startup.cs的ConfigureServices方法里，先判断当前环境是开发、测试还是生产：

public void ConfigureServices(IServiceCollection services, IHostingEnvironment env)
{
    // 先配置基础服务...

    // 配置认证
    var authBuilder = services.AddAuthentication(options =>
    {
        if (env.IsDevelopment() || env.IsEnvironment("IntegrationTest"))
        {
            // 本地/测试环境用自定义测试认证方案
            options.DefaultAuthenticateScheme = "TestAuth";
            options.DefaultChallengeScheme = "TestAuth";
        }
        else
        {
            // 生产环境用Azure AD JWT认证
            options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
            options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
        }
    });

    // 生产环境的Azure AD JWT配置
    authBuilder.AddJwtBearer(options =>
    {
        options.Authority = "https://login.microsoftonline.com/your-tenant-id";
        options.Audience = "your-audience-client-id";
        // 其他Azure AD专属配置，比如令牌验证参数等
    });

    // 注册测试用的认证方案
    if (env.IsDevelopment() || env.IsEnvironment("IntegrationTest"))
    {
        authBuilder.AddScheme<TestAuthOptions, TestAuthHandler>("TestAuth", options => { });
    }

    // 配置基于策略的授权
    services.AddAuthorization(options =>
    {
        // 注册你需要的策略，比如：
        options.AddPolicy("AdminOnly", policy =>
            policy.RequireClaim(ClaimTypes.Role, "Admin"));
        options.AddPolicy("EditorOnly", policy =>
            policy.RequireClaim(ClaimTypes.Role, "Editor"));
    });

    // 其他服务配置...
}

2. 实现测试环境的认证处理器 #

上面我们注册了一个名为TestAuth的自定义认证方案，接下来需要实现它的处理器，用来模拟认证过程并生成符合授权策略要求的用户声明（Claims）。

创建TestAuthHandler.cs：

public class TestAuthHandler : AuthenticationHandler<TestAuthOptions>
{
    public TestAuthHandler(IOptionsMonitor<TestAuthOptions> options, ILoggerFactory logger, UrlEncoder encoder, ISystemClock clock)
        : base(options, logger, encoder, clock)
    {
    }

    protected override Task<AuthenticateResult> HandleAuthenticateAsync()
    {
        // 模拟认证通过，生成包含所需角色/声明的用户身份
        var claims = new List<Claim>
        {
            new Claim(ClaimTypes.Name, "TestUser"),
            new Claim(ClaimTypes.Role, "Admin"), // 满足AdminOnly策略
            new Claim(ClaimTypes.Role, "Editor")  // 满足EditorOnly策略
            // 可以根据需要添加其他声明，匹配你的授权策略
        };

        var identity = new ClaimsIdentity(claims, Scheme.Name);
        var principal = new ClaimsPrincipal(identity);
        var ticket = new AuthenticationTicket(principal, Scheme.Name);

        return Task.FromResult(AuthenticateResult.Success(ticket));
    }
}

// 测试认证的配置类（空类即可，因为不需要额外配置）
public class TestAuthOptions : AuthenticationSchemeOptions { }

这个处理器会在本地/测试环境自动让所有请求通过认证，并赋予用户满足你定义的所有策略的声明，这样你在本地开发时不用每次都去获取Azure AD的令牌，集成测试也能直接调用接口。

3. 动态覆盖授权策略（可选） #

如果你的授权策略比较复杂，或者需要更精细地控制不同测试场景下的策略验证，可以自定义IAuthorizationPolicyProvider来动态替换策略逻辑。

创建DynamicAuthorizationPolicyProvider.cs：

public class DynamicAuthorizationPolicyProvider : DefaultAuthorizationPolicyProvider
{
    private readonly IHostingEnvironment _env;
    private readonly IOptions<AuthorizationOptions> _options;

    public DynamicAuthorizationPolicyProvider(IOptions<AuthorizationOptions> options, IHostingEnvironment env)
        : base(options)
    {
        _env = env;
        _options = options;
    }

    public override Task<AuthorizationPolicy> GetPolicyAsync(string policyName)
    {
        // 仅在测试/开发环境下替换策略
        if ((_env.IsDevelopment() || _env.IsEnvironment("IntegrationTest")) && !string.IsNullOrEmpty(policyName))
        {
            // 这里可以根据不同的policyName返回不同的测试策略
            // 示例：对于AdminOnly策略，直接允许所有认证用户通过
            if (policyName == "AdminOnly")
            {
                var testPolicy = new AuthorizationPolicyBuilder()
                    .RequireAuthenticatedUser()
                    .Build();
                return Task.FromResult(testPolicy);
            }
            // 对于其他策略，也可以自定义逻辑
        }

        // 生产环境或未匹配的策略，使用默认配置
        return base.GetPolicyAsync(policyName);
    }
}

然后在Startup.cs的ConfigureServices里替换默认的授权策略提供者：

services.AddSingleton<IAuthorizationPolicyProvider, DynamicAuthorizationPolicyProvider>();

4. 集成测试中的配置 #

在集成测试项目中，只需要指定运行环境为IntegrationTest即可自动启用测试认证：

var server = new TestServer(new WebHostBuilder()
    .UseEnvironment("IntegrationTest")
    .UseStartup<YourProject.Startup>());

var client = server.CreateClient();
// 直接调用接口即可，无需添加认证头，因为TestAuthHandler会自动处理
var response = await client.GetAsync("/api/protected-resource");

关键注意事项 #

• 严格区分环境：确保生产环境的配置不会被测试代码影响，永远不要在生产环境启用TestAuth方案。
• 模拟真实场景：测试环境的认证逻辑尽量模拟生产环境的Claims结构，这样测试结果才更有参考价值，不要完全跳过授权检查。
• 灵活调整：如果只是本地开发想快速跳过授权，可以简化TestAuthHandler的逻辑，但建议还是保留基本的认证模拟，避免和生产环境的逻辑差距过大。

内容的提问来源于stack exchange，提问作者Matthias Müller