.NET微服务与Web应用中的授权机制深度解析-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00300/article/details/148548883

.NET微服务与Web应用中的授权机制深度解析

docs This repository contains .NET Documentation. 项目地址: https://gitcode.com/gh_mirrors/docs2/docs

引言

在现代分布式系统开发中，授权机制是保障应用安全的重要环节。本文将深入探讨.NET微服务和Web应用中的授权实现方式，帮助开发者构建安全的应用程序。

授权基础概念

授权（Authorization）是指确定已认证用户能够访问哪些资源的机制。在ASP.NET Core中，授权通常在认证（Authentication）之后进行，用于控制用户对API和页面资源的访问权限。

基本授权实现

最简单的授权方式是使用[Authorize]特性标记控制器或动作方法：

[Authorize]
public class SecureController : Controller
{
    public IActionResult SensitiveData()
    {
        return View();
    }
}

这种基础形式只要求用户已认证，不限制具体身份。对于需要更精细控制的场景，.NET提供了两种主要授权方式：基于角色的授权和基于策略的授权。

基于角色的授权

角色授权是传统的授权方式，通过将用户分组到不同角色来控制访问权限。

角色管理

ASP.NET Core Identity提供了完整的角色管理功能：

// 创建角色
await _roleManager.CreateAsync(new IdentityRole("Administrator"));

// 将用户添加到角色
await _userManager.AddToRoleAsync(user, "Administrator");

应用角色授权

在控制器或方法上指定允许访问的角色：

[Authorize(Roles = "Admin,Manager")]
public class ManagementController : Controller
{
    [Authorize(Roles = "Admin")]
    public IActionResult SystemSettings()
    {
        return View();
    }
}

这种方式的优点是简单直观，适合权限模型不复杂的应用。

基于策略的授权

策略授权是更灵活强大的授权方式，允许开发者定义复杂的授权规则。

策略配置

在Startup类中配置授权策略：

services.AddAuthorization(options =>
{
    options.AddPolicy("RequireElevatedRights", policy =>
        policy.RequireRole("Admin", "SeniorAdmin")
              .RequireClaim("SecurityClearance", "Level3"));
    
    options.AddPolicy("MinimumAge21", policy =>
        policy.Requirements.Add(new MinimumAgeRequirement(21)));
});

自定义需求处理器

实现复杂授权逻辑需要创建自定义需求：

public class MinimumAgeRequirement : IAuthorizationRequirement
{
    public int MinimumAge { get; }
    
    public MinimumAgeRequirement(int minimumAge)
    {
        MinimumAge = minimumAge;
    }
}

public class MinimumAgeHandler : AuthorizationHandler<MinimumAgeRequirement>
{
    protected override Task HandleRequirementAsync(
        AuthorizationHandlerContext context,
        MinimumAgeRequirement requirement)
    {
        var dateOfBirthClaim = context.User.FindFirst(c => c.Type == ClaimTypes.DateOfBirth);
        
        if (dateOfBirthClaim != null)
        {
            var dateOfBirth = Convert.ToDateTime(dateOfBirthClaim.Value);
            var age = DateTime.Today.Year - dateOfBirth.Year;
            
            if (age >= requirement.MinimumAge)
            {
                context.Succeed(requirement);
            }
        }
        
        return Task.CompletedTask;
    }
}

注册自定义处理器

services.AddSingleton<IAuthorizationHandler, MinimumAgeHandler>();

最小API中的授权

ASP.NET Core的最小API也支持授权机制：

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddAuthorizationBuilder()
    .AddPolicy("api_access", policy =>
        policy
            .RequireAuthenticatedUser()
            .RequireClaim("scope", "api"));

var app = builder.Build();

app.MapGet("/secure-data", () => "Sensitive information")
    .RequireAuthorization("api_access");