为 Blazor 授权动态添加策略声明

Question

我正在创建用于内部授权目的的身份验证和授权处理程序。 我的目的是让我的同事能够轻松地将解决方案实施到他们自己的项目中。 我们使用 Azure AD 进行身份验证，并使用 Azure 组进行授权。 为了做到这一点，我觉得我一直在想办法以有效的方式添加授权策略。

现在，我通过 Blazor webassembly 托管配置中我的客户端项目的 Program 类中官方描述的方式添加它：

            builder.Services.AddAuthorizationCore(options =>
                options.AddPolicy("PolicyName", policy =>
                {
                    policy.RequireClaim("ClaimType", "ClaimValue");
                })
            );

这很好用，但不直观，因为任何给定的项目都可能需要几种不同的策略

我还添加了一个自定义授权策略提供程序，如 Microsoft 的文档中所述：

https://docs.microsoft.com/en-us/aspnet/core/security/authorization/iauthorizationpolicyprovider?view=aspnetcore-6.0

根据他们对本文档的描述，尤其是文档中的前几行，我认为这将是我正在寻找的内容。 但是，如果没有专门手动添加每个策略，我似乎仍然无法让它按预期工作。

如果需要，我可以展示我对授权策略提供程序的自定义实现，但它与 Github 中的文档几乎完全相同。

Answer 1

策略最常在应用程序启动时在Startup类的ConfigureServices方法中注册。

public void ConfigureServices(IServiceCollection services)    
{
    services.AddAuthorization(config =>
    {
        config.AddPolicy("IsDeveloper", policy => policy.RequireClaim("IsDeveloper","true"));
       });
}

IsDeveloper策略要求用户拥有值为true的声明IsDeveloper 。

您可以通过Authorize属性应用策略的角色。

[Route("api/[controller]")]
[ApiController]
public class SystemController 
{
    [Authorize(Policy = “IsDeveloper”)]
    public IActionResult LoadDebugInfo()
    {
        // ...
    }
}

Blazors 指令和组件也适用于策略。

@page "/debug"
@attribute [Authorize(Policy = "IsDeveloper")]
< AuthorizeView Policy="IsDeveloper">
    < p>You can only see this if you satisfy the IsDeveloper policy.< /p>
< /AuthorizeView>

更轻松的管理

使用基于角色的身份验证，如果我们有几个角色可以访问受保护的资源——比如说admin和moderator 。 我们需要去他们被允许访问的每个区域并添加一个Authorize属性。

[Authorize(Roles = "admin,moderator")]

这最初看起来并不太糟糕，但是如果出现新需求并且第三个角色superuser需要相同的访问权限怎么办？ 我们现在需要遍历每个区域并更新所有角色。 使用基于策略的身份验证，我们可以避免这种情况。

我们可以在一个地方定义一个策略，然后将它应用到所有需要它的资源上。 然后当需要添加额外的角色时，我们可以从中心点更新策略，而无需更新单个资源。

 public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthorization(config =>
    {
    config.AddPolicy("IsAdmin", policy => policy.RequireRole("admin", "moderator", "superuser"));
    });
}
[Authorize(Policy = "IsAdmin")]

创建共享策略

为此，我们需要从 NuGet 安装Microsoft.AspNetCore.Authorization包。

之后，使用以下代码创建一个名为Policies的新类。

public static class Policies
{
public const string IsAdmin = "IsAdmin";
public const string IsUser = "IsUser";
public static AuthorizationPolicy IsAdminPolicy()
{
    return new AuthorizationPolicyBuilder().RequireAuthenticatedUser()
                                           .RequireRole("Admin")
                                           .Build();
}

public static AuthorizationPolicy IsUserPolicy()
{
    return new AuthorizationPolicyBuilder().RequireAuthenticatedUser()
                                           .RequireRole("User")
                                           .Build();
}
}

在这里，我们使用AuthorizationPolicyBuilder来定义每个策略，两者都要求用户进行身份验证，然后根据策略处于Admin角色或User角色。

配置服务器

在Startup类的ConfigureServices中注册策略。 在对AddAuthentication的现有调用下添加以下代码。

services.AddAuthorization(config =>
{
    config.AddPolicy(Policies.IsAdmin, Policies.IsAdminPolicy());
    config.AddPolicy(Policies.IsUser, Policies.IsUserPolicy());
});

注册每个策略并使用我们在Policies类中定义的常量来声明它们的名称，这样可以节省使用魔法字符串。

如果我们转到SampleDataController我们可以更新Authorize属性以使用新的IsAdmin策略而不是旧角色。

[Authorize(Policy = Policies.IsAdmin)]
[Route("api/[controller]")]
public class SampleDataController : Controller

同样，我们可以使用我们的名称常量来避免魔术字符串。

配置客户端

我们的服务器现在正在使用我们定义的新策略，剩下要做的就是交换我们的 Blazor 客户端以使用它们。

与服务器一样，我们将首先在Startup类的ConfigureServices中注册策略。 我们已经调用了AddAuthorizationCore所以我们只需要更新它。

services.AddAuthorizationCore(config =>
{
    config.AddPolicy(Policies.IsAdmin, Policies.IsAdminPolicy());
    config.AddPolicy(Policies.IsUser, Policies.IsUserPolicy());
});

在Index.razor ，更新AuthorizeView组件以使用策略 - 仍然避免使用魔法字符串。

< AuthorizeView Policy="@Policies.IsUser">
    < p>You can only see this if you satisfy the IsUser policy.< /p>
< /AuthorizeView>
< AuthorizeView Policy="@Policies.IsAdmin">
    < p>You can only see this if you satisfy the IsAdmin policy.< /p>
< /AuthorizeView>

最后，更新FetchData.razor的Authorize属性。

@attribute [Authorize(Policy = Policies.IsAdmin)]

参考这里