19、实现授权和高级认证功能

实现授权和高级认证功能

1. 授权与认证的概念

在应用开发中，认证和授权是保障系统安全的重要环节。认证是指验证用户身份的过程，比如员工证明自己是公司员工从而被允许进入公司大楼。而授权则是在认证基础上，对已认证用户访问资源进行限制的机制。例如，员工即便已被认证为公司员工，也不能随意进入大楼内的所有部门，需要特定的角色或权限才行。

在软件中，用户成功登录后完成认证，但授权意味着用户若没有特定角色或权限，就不能执行某些操作或访问某些功能。

2. 角色与策略的应用

在书店项目中，有系统管理员和普通顾客两类用户。管理员可以访问添加新书的页面，而顾客只能浏览图书、购买和评价图书。

用户的角色信息存储在令牌的声明中，API 会颁发包含角色声明的令牌。例如，管理员用户的令牌中的角色声明值为“Admin”，顾客用户的令牌中的角色声明值为“Customer”。

要限制某些页面的访问权限，可通过添加 [Authorize] 属性实现。比如，要让“BookForm”页面仅能被管理员访问，可在“BookForm.razor”文件中添加如下代码：

@page "/book/form"
...
@attribute [Authorize(Roles = "Admin")]
...

若有多个角色，可使用逗号分隔，如 [Authorize(Roles = "Admin,Supervisor")] 。

除了角色，还可以使用策略来限制对应用资源的访问。策略能让