11-用路由动作名自动生成授权策略

原创于 2026-10-29 17:35:31 发布 · 136 阅读

2 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

收录于

本文介绍在C# ASP.NET Core中，利用控制器动作名自动生成同名声明式授权策略的方法。通过运行时动态注册策略，避免手动维护策略表与控制器特性不一致的问题，提升权限契约一致性与开发效率。方案支持令牌声明自动注入、超级管理员全权限刷新，并强调策略名拼写校验与安全边界控制。

用路由动作名自动生成授权策略

接口一多，为每个按钮权限在启动时手写一长串 AddPolicy，策略表和控制器很快就会对不上。用路由动作名在运行时生成「同名声明」策略，能让策略名成为前后端共用的权限契约。

背景与问题

手写策略注册的痛点很具体：新增一个受保护动作，既要改控制器特性，又要改认证启动代码，还要在菜单和角色里配同名权限。漏一处就是 403，或接口根本没被保护。策略表膨胀后，没有人愿意做全量对照，线上往往靠点一下按钮看是否报错，才发现权限已经漂移。

策略名一旦散落在启动代码和控制器两处，重构动作名时很容易只改一边。运行时按名字匹配，拼写差一个字就会稳定地拒绝本该放行的请求。

做法

自定义 IAuthorizationPolicyProvider：当请求需要的策略名尚未手写注册时，动态生成一条「要求持有同名 policy 声明」的策略。策略名约定为路由键，例如 订单.提交，或控制器与动作的组合名。非 GET 请求还可以设默认策略，强制写操作必须带权限声明。

public sealed class RoutePolicyProvider : IAuthorizationPolicyProvider
{
    private readonly DefaultAuthorizationPolicyProvider _fallback;

    public RoutePolicyProvider(IOptions<AuthorizationOptions> options)
        => _fallback = new DefaultAuthorizationPolicyProvider(options);

    public Task<AuthorizationPolicy?> GetPolicyAsync(string policyName)
    {
        var policy = new AuthorizationPolicyBuilder()
            .RequireAuthenticatedUser()
            .RequireClaim("policy", policyName)
            .Build();
        return Task.FromResult<AuthorizationPolicy?>(policy);
    }

    public Task<AuthorizationPolicy> GetDefaultPolicyAsync()
        => _fallback.GetDefaultPolicyAsync();

    public Task<AuthorizationPolicy?> GetFallbackPolicyAsync()
        => _fallback.GetFallbackPolicyAsync();
}