如何在MVC Core中参数化角色授权的角色值以适配部署？

刚好处理过类似的需求，给你分享个不用改控制器源代码，就能灵活替换授权角色的方案——用配置驱动的授权策略，核心思路就是把角色列表放到配置文件里，授权逻辑从配置读取，这样部署时改配置就行，不用碰代码。

1. 先在配置文件里存角色列表 #

打开appsettings.json，加个专门的配置项放允许访问SalaryController的角色：

"AuthorizationSettings": {
  "SalaryAllowedRoles": "HRManager,Finance"
}

之后要换成Accounting和Marketing的话，直接把这里的值改成"Accounting,Marketing"就ok，完全不用动代码。

2. 注册配置驱动的授权策略 #

在Program.cs（ASP.NET Core 6及以上）或者Startup.cs（旧版本）里，把授权策略和配置绑定起来：

对于ASP.NET Core 6+（顶级语句写法） #

var builder = WebApplication.CreateBuilder(args);

// 添加授权服务并配置自定义策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("CanAccessSalary", policy =>
    {
        // 从配置里读取角色列表，分割成数组
        var allowedRoles = builder.Configuration["AuthorizationSettings:SalaryAllowedRoles"]?.Split(',') ?? Array.Empty<string>();
        policy.RequireRole(allowedRoles);
    });
});

// 注册MVC等其他服务...

var app = builder.Build();

// 配置中间件（比如路由、授权中间件）...
app.Run();

对于旧版本（Startup.cs） #

public class Startup
{
    public IConfiguration Configuration { get; }

    public Startup(IConfiguration configuration)
    {
        Configuration = configuration;
    }

    public void ConfigureServices(IServiceCollection services)
    {
        services.AddControllersWithViews();

        services.AddAuthorization(options =>
        {
            options.AddPolicy("CanAccessSalary", policy =>
            {
                var allowedRoles = Configuration["AuthorizationSettings:SalaryAllowedRoles"]?.Split(',') ?? Array.Empty<string>();
                policy.RequireRole(allowedRoles);
            });
        });
    }

    public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
    {
        // 配置中间件（异常处理、静态文件、路由、授权等）...
    }
}

3. 修改控制器的授权标记 #

把原来硬编码角色的[Authorize(Roles = "HRManager,Finance")]换成引用策略的写法：

[Authorize(Policy = "CanAccessSalary")]
public class SalaryController : Controller 
{
    // 你的控制器逻辑...
}

这一步只需要改一次，之后不管怎么换角色，都只需要修改appsettings.json里的配置值，完全不用动控制器的源代码。

额外小技巧：多环境配置 #

如果不同环境（开发/测试/生产）需要不同的角色，可以给不同环境建对应的配置文件，比如appsettings.Development.json、appsettings.Production.json，各自配置不同的角色列表，ASP.NET Core会自动根据当前环境加载对应的配置，部署起来更灵活。

内容的提问来源于stack exchange，提问作者user8280126