将授权属性与基于自定义声明的身份验证一起使用

Question

我想在我的 ASP.net MVC 项目中使用基于声明的身份验证来构建自己的身份验证过程。我希望能够使用 Authorize 属性（包括角色），例如[Authorize(Roles="admin")] 和[Authorize(Roles="Frontenduser")]，因为我将拥有多种类型的用户。

我不想使用 ASP.net 身份，因为它的功能比我需要的要多。我还需要为不同类型的用户存储完全不同的数据。

我知道我可以从 AuthorizeAttribute 类继承，但我不确定它如何与声明一起使用。因此，首先，任何人都可以推荐一个好的包来使用基于声明的身份验证，其次，如何停止 Authorize 属性与 ASP.net Identity 一起使用并让它与我的自定义基于声明的身份验证一起使用？ 我查看了网络上的其他问题和其他解决方案，但找不到合适的解释或解决方案。

Answer 1

您可以使用基于策略的授权。身份是身份验证，不同于授权。为此，您可以在启动课程中制定政策。这是我在配置服务中的一个示例。如果您不需要身份，您可以使用 JWT 不记名令牌并制定策略。 从 nuget 获取这些包：

using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.IdentityModel.Tokens;



      public void ConfigureServices(IServiceCollection services)
        {

  //new policy makes [Authorize (Policy = "Your custom Policy")] availible by claims This is what you put on controllers
            services.AddAuthorization((options) => {
                options.AddPolicy("Your custom Policy", policybuilder =>
                {               
                    policybuilder.RequireAuthenticatedUser();
                    policybuilder.RequireClaim("role", "PayingUserExampleProperty");

                });
            });

在你的配置中

添加

   public void Configure(IApplicationBuilder app, IHostingEnvironment env)
        {
    app.UseAuthentication();
...

好好读一读：

https://docs.microsoft.com/en-us/aspnet/core/security/authorization/policies