创建不检查管理员角色声明的策略

Question

我想在 ASP.NET Core 3.1 中构建基于权限的授权。 我在Startup.cs 中实施了策略，但我也不想对所有策略使用自定义需求处理程序。因为我的条件很简单。例如，如果用户具有Admin 角色，则不要检查和授权，如果用户具有User 角色，则检查 Startup.cs 中的关系声明以获取策略。

我在 Startup.cs 是这样实现的：

services.AddAuthorization(options =>
{
    options.AddPolicy("GetDefinition",
        policy => policy.RequireRole("Admin", "User")
                        .RequireClaim("CanGetDefinition"));
});

如果用户在策略创建中具有管理员角色，我如何跳过检查声明？

Answer 1

也许是基于using-a-func-to-fulfill-a-policy:

services.AddAuthorization(options =>
{
    options.AddPolicy("GetDefinition",
        policy => policy.RequireAssertion(
             (context) => {
                 return context.User.IsInRole("Admin") || 
                        (
                             context.User.IsInRole("User") && 
                             context.User.HasClaim(p => p.Type == "CanGetDefinition")
                        );
             }
});