Как создать пользовательский атрибут Authorize для нескольких политик в ASP.NET CORE

Question

Я хочу разрешить доступ к контроллеру действий с помощью нескольких политик.

.eg:

[Authorize([Policies.ManageAllCalculationPolicy,Policies.ManageAllPriceListPolicy]]
public async Task<IActionResult> Get(int id){}

Большое спасибо.

Answer 1

Для нескольких политик вы можете реализовать свой собственный AuthorizeAttribute.

• AuthorizeMultiplePolicyAttribute

  public class AuthorizeMultiplePolicyAttribute:TypeFilterAttribute
  {
  public AuthorizeMultiplePolicyAttribute(string policies,bool IsAll):base(typeof(AuthorizeMultiplePolicyFilter))
  {
      Arguments = new object[] { policies,IsAll};
  }
  }
  

• AuthorizeMultiplePolicyFilter

  public class AuthorizeMultiplePolicyFilter: IAsyncAuthorizationFilter
  {
  private readonly IAuthorizationService _authorization;
  public string _policies { get; private set; }
  public bool _isAll { get; set; }
  public AuthorizeMultiplePolicyFilter(string policies, bool IsAll,IAuthorizationService authorization)
  {
      _policies = policies;
      _authorization = authorization;
      _isAll = IsAll;
  }
  
  public async Task OnAuthorizationAsync(AuthorizationFilterContext context)
  {
  
      var policys = _policies.Split(";").ToList();
      if (_isAll)
      {
          foreach (var policy in policys)
          {
              var authorized = await _authorization.AuthorizeAsync(context.HttpContext.User, policy);
              if (!authorized.Succeeded)
              {
                  context.Result = new ForbidResult();
                  return;
              }
          }
      }
      else
      {
          foreach (var policy in policys)
          {
              var authorized = await _authorization.AuthorizeAsync(context.HttpContext.User, policy);
              if (authorized.Succeeded)
              {
                  return;
              }
          }
          context.Result = new ForbidResult();
          return;
      }
  }
  }
  

• Добавить необходимую политику при запуске

  services.AddAuthorization(options =>
      {
  
          options.AddPolicy("ManageAllCalculationPolicy", policy =>
                  policy.RequireAssertion(context =>
                      context.User.HasClaim(c => c.Type == "BadgeId")));
  
          options.AddPolicy("ManageAllPriceListPolicy", policy =>
                  policy.RequireAssertion(context =>
                      context.User.HasClaim(c => c.Type == "aaaa")));
      });
  

• Авторизация на основе одной из политик

  [AuthorizeMultiplePolicy("ManageAllCalculationPolicy;ManageAllPriceListPolicy", false)]
  

• Авторизация на основе всех политик

  [AuthorizeMultiplePolicy("ManageAllCalculationPolicy;ManageAllPriceListPolicy", true)]
  

Answer 2

Нет, вы не можете добавить несколько политик в виде списка с условием or.Я думаю, что NetCore не поддерживает.

Попробуйте создать новую политику.

services.AddAuthorization(options =>
{
    options.AddPolicy("BadgeEntry", policy =>
        policy.RequireAssertion(context =>
            context.User.HasClaim(c =>
                (c.Type == ClaimTypes.BadgeId ||
                 c.Type == ClaimTypes.TemporaryBadgeId) &&
                 c.Issuer == "https://microsoftsecurity")));
});

Ссылка: https://docs.microsoft.com/en-us/aspnet/core/security/authorization/policies?view=aspnetcore-2.1#why-would-i-want-multiple-handlers-for-a-requirement