ASP.NET Core中同路由不同授权属性的多Action处理方案

这个问题我之前在项目里也碰到过，其实ASP.NET Core里处理这种同路由不同授权的场景，核心是先解决路由的歧义问题，再给不同Action挂上对应的授权规则就行，给你几个实用的方案：

方案1：用HTTP动词区分（最推荐，符合Web API规范） #

Web API的设计本身就依赖HTTP动词来区分同路由的不同操作（比如查询、创建、更新），刚好可以对应你的不同授权需求。你只需要给两个Action分别标记不同的HTTP方法特性，再各自加上对应的授权属性即可。

示例代码：

[Route("api/[controller]")]
[ApiController]
public class YourController : ControllerBase
{
    // 仅允许具备Admin角色/对应自定义策略的用户访问，响应GET请求
    [HttpGet]
    [Authorize(Roles = "Admin")]
    // 如果你用自定义授权策略，就换成 [Authorize(Policy = "YourAdminPolicy")]
    public IActionResult GetAdminResource()
    {
        return Ok("仅管理员可见的资源");
    }

    // 仅允许普通用户访问，响应POST请求
    [HttpPost]
    [Authorize(Roles = "User")]
    // 自定义策略则用 [Authorize(Policy = "YourUserPolicy")]
    public IActionResult PostUserResource([FromBody] YourModel model)
    {
        return Ok("用户提交的资源已处理");
    }
}

这样，GET api/yourcontroller会匹配第一个Action，POST api/yourcontroller匹配第二个，各自的授权规则会独立生效，完全符合你的需求。

方案2：给路由添加差异化片段（适用于必须用相同HTTP方法的场景） #

如果你的两个Action必须用相同的HTTP方法（比如都是GET），那就要给其中一个Action的路由模板加个小后缀，让路由系统能区分它们。

示例代码：

[Route("api/[controller]")]
[ApiController]
public class YourController : ControllerBase
{
    // 匹配 GET api/yourcontroller，需要管理员权限
    [HttpGet]
    [Authorize(Policy = "AdminOnly")]
    public IActionResult GetAdminContent()
    {
        return Ok("管理员专属内容");
    }

    // 匹配 GET api/yourcontroller/user，需要普通用户权限
    [HttpGet("user")]
    [Authorize(Policy = "UserOnly")]
    public IActionResult GetUserContent()
    {
        return Ok("普通用户内容");
    }
}

这种方式虽然路由有微小差异，但能保证两个Action的授权规则独立生效，同时避免路由歧义。

注意：避免完全相同的路由+HTTP方法 #

如果硬要设置两个完全相同的路由模板+相同HTTP方法的Action，ASP.NET Core会直接抛出AmbiguousActionException，因为路由系统无法判断该调用哪个Action。所以这种情况是不被允许的，必须有一个区分维度（要么HTTP方法不同，要么路由模板有差异）。

结合你已经实现的自定义中间件和授权策略提供程序，只需要把对应的策略名称写到[Authorize(Policy = "...")]里，就能让你的自定义授权逻辑生效，和路由的区分逻辑完全不冲突。

内容的提问来源于stack exchange，提问作者Pouya Moradian