基于角色的授权优化：普通用户仅能访问自身信息

针对你遇到的Common角色用户能随意访问所有成员信息的问题，我给你整理了两种可行的优化方案，你可以根据项目需求选择：

方案一：Action内直接校验（快速落地） #

这种方式适合快速修改现有代码，不需要额外的框架配置。核心思路是在GetMember方法里，结合当前用户的Claims和角色，直接判断是否允许访问目标资源。

修改后的代码示例：

[Authorize(Roles = "Super, Common")]
[Route("api/[controller]")]
public class MemberController : Controller
{
    ...
    [HttpGet("Member/{id}")]
    public IActionResult GetMember(Guid id)
    {
        // 从Claims中提取当前用户的ID（这里假设你的Claim类型是"UserId"，根据实际情况调整）
        var currentUserIdStr = User.Claims.FirstOrDefault(c => c.Type == "UserId")?.Value;
        if (string.IsNullOrEmpty(currentUserIdStr))
        {
            return Unauthorized();
        }

        // 判断角色并校验权限
        var isSuper = User.IsInRole("Super");
        var isCommon = User.IsInRole("Common");

        // Common角色仅能访问自身信息
        if (isCommon)
        {
            if (!Guid.TryParse(currentUserIdStr, out var currentUserId) || currentUserId != id)
            {
                return Forbid(); // 返回403禁止访问
            }
        }

        // 后续业务逻辑：获取并返回成员信息
        Member output;
        ...
        return Ok(output);
    }
}

方案二：自定义授权策略（框架级优雅实现） #

如果希望授权逻辑和业务代码解耦，方便后续复用规则，推荐使用ASP.NET Core的自定义授权策略，这是更符合框架设计的做法。

步骤1：定义授权要求 #

创建一个标记授权规则的类：

public class SameUserOrSuperRoleRequirement : IAuthorizationRequirement
{
    // 可自定义Claim类型名称，默认用"UserId"
    public string UserIdClaimType { get; }

    public SameUserOrSuperRoleRequirement(string userIdClaimType = "UserId")
    {
        UserIdClaimType = userIdClaimType;
    }
}

步骤2：实现授权处理器 #

编写处理该要求的逻辑，判断用户是否符合权限：

public class SameUserOrSuperRoleHandler : AuthorizationHandler<SameUserOrSuperRoleRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, SameUserOrSuperRoleRequirement requirement)
    {
        // Super角色直接放行
        if (context.User.IsInRole("Super"))
        {
            context.Succeed(requirement);
            return Task.CompletedTask;
        }

        // Common角色需校验是否访问自身信息
        if (context.User.IsInRole("Common"))
        {
            // 从路由中获取目标用户ID（对应Action的{id}参数）
            var filterContext = context.Resource as AuthorizationFilterContext;
            if (filterContext?.RouteData.Values.TryGetValue("id", out var idValue) == true &&
                Guid.TryParse(idValue.ToString(), out var targetUserId))
            {
                // 获取当前用户的ID
                var currentUserIdStr = context.User.Claims.FirstOrDefault(c => c.Type == requirement.UserIdClaimType)?.Value;
                if (Guid.TryParse(currentUserIdStr, out var currentUserId) && currentUserId == targetUserId)
                {
                    context.Succeed(requirement);
                }
            }
        }

        return Task.CompletedTask;
    }
}

步骤3：注册授权策略 #

在Program.cs（或Startup.cs）中配置授权服务：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("SameUserOrSuper", policy =>
        policy.Requirements.Add(new SameUserOrSuperRoleRequirement()));
});

// 注册自定义授权处理器
builder.Services.AddScoped<IAuthorizationHandler, SameUserOrSuperRoleHandler>();

步骤4：在Controller上应用策略 #

替换原来的角色授权标签为自定义策略：

[Authorize(Policy = "SameUserOrSuper")]
[Route("api/[controller]")]
public class MemberController : Controller
{
    ...
    [HttpGet("Member/{id}")]
    public IActionResult GetMember(Guid id)
    {
        // 业务逻辑无需再处理授权，框架已完成校验
        Member output;
        ...
        return Ok(output);
    }
}

两种方案各有侧重：方案一适合快速修复问题，方案二更适合需要复用授权规则的复杂场景，你可以按需选择。

内容的提问来源于stack exchange，提问作者DonkeyBanana