用户或管理员的 ASP.Net Core WebAPI 授权策略

Question

我有一个返回用户数据的控制器。我想设置授权，以便管理员可以访问此控制器并为任何用户检索数据，而非管理员用户可以访问控制器并为自己检索数据。

我已排除使用[Authorize (Roles = "Admin")]，因为这意味着用户无法获取自己的数据。所以我在控制器动作中插入了以下逻辑：

var userId = _httpContextAccessor.HttpContext.User.FindFirst(ClaimTypes.Name).Value;
var roles = _httpContextAccessor.HttpContext.User.FindAll(ClaimTypes.Role);

var query = roles.Select(r => r.Value).Contains("Admin");

Customer customer =await _context.Customers.FindAsync(id);

if (!(customer.EmailAddress == userId || query))
 return Unauthorized();

这大致相当于this Stack Overflow answer，但用于 ASP.Net Core 而不是 MVC。

我的问题是，有没有办法通过授权策略来做到这一点？添加 RequireRole 检查很简单，在 MS Documentation 以及无数博客中都有介绍，但我找不到或想出一种方法来使用策略来检查用户尝试访问的数据是否是他们自己的。

我确定这不是一个不常见的要求，有没有办法做到这一点，或者我目前正在做的事情还可以吗？我能想到的唯一其他方法是有两个单独的端点，但这两种选择似乎都不优雅。

Answer 1

该策略用于授权，但管理员或普通用户都可以访问控制器，他们都是授权的。

这是您确定应返回哪些数据的自定义逻辑，与授权无关。如果您坚持使用策略，您可以将逻辑放到处理程序中，但是当逻辑在控制器中时，这没有任何改变：

public class CustomerHandler : AuthorizationHandler<CustomerRequirement>
{
    IHttpContextAccessor _httpContextAccessor = null;

    public CustomerHandler(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context,
                                               CustomerRequirement requirement)
    {

        HttpContext httpContext = _httpContextAccessor.HttpContext;

        //your logic 

        httpContext.Items["message"] = "ownData";

        context.Succeed(requirement);
        return Task.CompletedTask;
    }
}

并在控制器中读取，以便您知道是读取自己的数据还是所有用户的数据：

var message = HttpContext.Items["message"];

在我的选项中，在您的 Web api 中设置两个端点/功能，一个用于管理员，一个用于用户是干净的方式。此外，您的客户端应用程序有责任确定当前用户想要返回他自己的数据还是所有用户的数据。向 web api 发送请求并让 api 由逻辑确定似乎不太正确。 Webapi 应该包含干净的函数/端点来映射来自客户端的每个请求。