在 .NET Core 3.1 中设置带有声明的 JWT 策略？

Question

我正在尝试使用JWT 使用授权中间件设置我的项目。

这里是一个场景示例

我有 3 个模块

1. 分析

   • 搜索
   • 查看
   • 保存

2. 搜索

   • 搜索
   • 查看
   • 保存

3. 管理员

   • 仅限管理员

---

根据我对多个博客的理解，我必须使用Policy 设置中间件，这将代表我的功能Analytics、Search、Admin。然后我用[Authorize(Policy="Analytics")] 装饰控制器，JWT 将针对Analytics 策略进行授权。

问题：

如果我的保单有多个功能，例如Search = 1、View = 2、Save = 3，其中Save 可以同时访问View 和Search 我如何为该保单配置声明并将信息传递到@ 987654334@属性？

 services.AddAuthorization((options) =>
            {
                options.AddPolicy("Analytics", policy =>
                {
                    policy.AuthenticationSchemes.Add(JwtBearerDefaults.AuthenticationScheme);
                    ???
                    ???
                    ???
                });
            });

[Authorize(Policy = "Analytics")]

Answer 1

我认为你有几个选择。如果您想使用策略并且只需要控制每个模块的访问权限，那么您将创建 3 个策略并将一个或多个声明添加到给定用户的令牌以进行检查。显然，保单和索赔的名称取决于您：

services.AddAuthorization(options =>  
{  
    options.AddPolicy("Analytics", policy => policy.RequireClaim("AllowAnalytics"));  
    options.AddPolicy("Search", policy => policy.RequireClaim("AllowSearch")); 
    options.AddPolicy("Admin", policy => policy.RequireClaim("AllowAdmin"));  
}); 

Controller 将具有您之前指定的 auth 属性：

[Authorize(Policy = "Analytics")]

并且您必须在发布用户的 JWT 令牌时添加多个声明（AllowAnalytics、AllowSearch、AllowAdmin）之一。这种方法非常简单，但不能很好地扩展。只针对三个领域，还可以，但是如果你有更多的模块或者需要更细粒度的控制，那就不行了。

如果您的用户可以整齐地分类为角色，并且操作权限可以轻松映射到这些角色，那么您最好使用该选项。这可以通过内置的 ASP.Net 身份角色 ([Authorize(Roles = "Analytics,Admin")]) 来完成，或者只是向 JWT 令牌添加“角色”声明并使用 RequireClaim 策略，如上例所示。

最后，如果您有更复杂的要求，例如任何用户都可以拥有任意权限组合（用户 A 需要 Analytics-View 和 Search-Search，但仅此而已），那么您可能希望采用更复杂的解决方案，涉及为每个控制器操作分配特定的访问权限，并将用户的访问组合存储在数据库或其他东西中。在 GitHub 上查看 John P Smith 关于他的解决方案和代码的帖子，非常好：

• https://www.thereformedprogrammer.net/a-better-way-to-handle-asp-net-core-authorization-six-months-on/
• https://github.com/JonPSmith/PermissionsOnlyApp