根据“项目”实施不同用户角色/权限的最佳方法是什么？

Question

我们当前的 API 利用 ASP.Net 身份和基于策略的权限进行授权。它使用用户角色作为声明。这些声明被 ClaimsTransformer 类拦截，用户权限从包含用户映射（缓存）的数据库中读取。这一切都很好。

我遇到的问题是 API 的范围扩展到包括不同的“项目”，例如，用户可以在一个项目中是 Creator，而在另一个项目中是 Consumer。有没有办法将这些要求与 .NET Core 的基于角色/策略的授权相协调？还是在每次请求时向数据库查询这些权限的最佳方法是什么？

Answer 1

授权很难，观看此视频是一个很好的起点：

• Implementing authorization in web applications and APIs。

然后使用 policies 和 requirements 是我的处理方法，这个资源是一个很好的参考：

• Custom authorisation policies and requirements in ASP.NET Core

下图显示了需求概念在 ASP.Net Core 中的工作原理，您可以在其中定义一个需求，然后让一个或多个处理程序独立地“投票”用户是否获得批准。