在構建需要聲明的策略時，我們是否需要包含 RequireAuthenticatedUser？

Question

當您在 ASP.NET Core 中創建自定義策略時，如下所示：

services.AddAuthorization(options =>
    {
        options.AddPolicy("MyCustomPolicy",
            policyBuilder => policyBuilder.RequireClaim("SomeClaim"));
    });

如上定義與按以下方式定義有什么區別：

services.AddAuthorization(options =>
    {
        options.AddPolicy("MyCustomPolicy",
            policyBuilder => policyBuilder.RequireAuthenticatedUser()
                             .RequireClaim("SomeClaim"));
    });

我的意思是，有沒有可能在沒有經過身份驗證的情況下提出索賠？ 如果是 - 它是如何工作的？ 一個證明這種行為的例子會很棒！

編輯： 這是調用RequireClaim背后的要求的源代碼， 這是RequireAuthenticatedUser的要求。

Answer 1

從有關AuthorizationPolicyBuilder.RequireAuthenticatedUser 方法的文檔中，我們可以找到：

Adds a DenyAnonymousAuthorizationRequirement to the current instance

下面的示例可以幫助了解它是如何工作的。

添加自定義聲明

app.UseAuthentication();

app.Use(async (context, next) =>
{
    //add a claim to this claims identity
    context.User.Identities.FirstOrDefault().AddClaim(new Claim("SomeClaim", "testval"));

    await next.Invoke();
});

app.UseAuthorization();

如果不調用.RequireAuthenticatedUser方法

services.AddAuthorization(options =>
{
    options.AddPolicy("MyCustomPolicy",
        policyBuilder => policyBuilder.RequireClaim("SomeClaim"));

});

我們可以發現匿名用戶也可以通過聲明檢查並訪問資源，如下所示。