如何在ASP.Net Core中使用基于策略的授权

如果您有构建ASP.Net应用程序的经验，那么您无疑会熟悉基于角色的授权。 在ASP.Net Core（Microsoft的精益和模块化框架，可用于在Windows，Linux或MacOS上构建现代Web应用程序）中，我们有一个附加选项。

基于策略的授权是ASP.Net Core中引入的一项新功能，使您可以实现松散耦合的安全模型。 在本文中，我将解释什么是基于策略的授权，以及如何在ASP.Net Core中实现它。

[ Visual Studio Code入门 ，Microsoft的轻量级编辑器，适用于Windows，MacOS和Linux。 •了解最新版本的Visual Studio Code中的新增功能 。 | 通过InfoWorld的App Dev Report新闻通讯了解编程方面的热门话题。 ]

假设您的系统中已安装.Net Core，请按照以下步骤在Visual Studio 2017中创建一个新的ASP.Net Core项目。

1. 打开Visual Studio
2. 单击文件->新建->项目
3. 在“新建项目对话框”窗口中，选择“ ASP.NET Core Web应用程序”项目模板
4. 指定项目的名称和位置，然后单击“确定”保存
5. 从显示的模板列表中选择“ Web API”，确保将身份验证设置为“无身份验证”，并且未选中Docker支持框，然后单击“确定”。

这就是创建利用Web API的ASP.Net Core Web应用程序所需要做的全部工作。 现在让我们探索如何构建基于自定义策略的安全模型。

在基于策略的安全模型中，需要了解三个关键概念：策略，需求和处理程序。 请注意，策略由需求组成，而需求由参数集合组成。 这些参数用于标识用户的凭据。 处理程序用于评估用户的授权，即确定用户可以访问哪些资源。

在ASP.Net Core中注册策略

让我们首先了解如何注册策略。 这是在Startup.cs文件的ConfigureServices方法中注册策略的方式。

public void ConfigureServices(IServiceCollection services)
{
    services.AddMvc();
    services.AddAuthorization(options =>
    {
        options.AddPolicy(“IDGCustomPolicy”, policy =>
            policy.Requirements.Add(new MinimumExperience(10)));
    });
}

在ASP.Net Core中实施策略要求类

以下代码清单提供了自定义策略要求类的示例。 请注意，自定义需求类实现了IAuthorizationRequirement接口。 该类的参数构造函数接受一个整数作为参数，然后将该值分配给一个整数属性。 在这种情况下，整数表示我们的授权政策要求的最少年限。

public class MinimumExperienceRequirement : IAuthorizationRequirement
{
    public MinimumExperienceRequirement(int years)
    {
        ExpInYears = years;
    }
    protected int ExpInYears { get; set; }
}

在ASP.Net Core中实现策略处理程序类

现在我们需要实现处理程序。 处理程序是将评估我们上面创建的需求的一个或多个属性的类。 （在我们的例子中，我们只有一个属性，即最少的工作年限。）以下代码段说明了一个自定义处理程序类。

public class MinimumExperienceHandler : AuthorizationHandler<MinimumExperience>
{
    protected override Task HandleRequirementAsync(AuthorizationContext context, MinimumExperience requirement)
    {
        if (!context.User.HasClaim(c => c.Type ==  ClaimTypes.YearsOfExp))
       {
           return Task.CompletedTask;
       }
       var expInYears = Convert.ToDateTime(context.User.FindFirst(c => c.Type == ClaimTypes.YearsOfExp).Value);
       if (expInYears >= 3)
       {
           context.Succeed(requirement);
       }
       return Task.CompletedTask;
    }
}

请注意，我们的需求处理程序类如何根据YearsOfExp声明的值是否满足最低要求来授权用户。

在ASP.Net Core中应用授权策略

最后，要应用我们创建的策略，我们需要利用Authorize属性。 下面的代码清单说明了如何实现此目的。

[Authorize(Policy="IDGCustomPolicy")]
public class SampleController : Controller
{
    //Write your code here...
}

这只是ASP.Net Core中基于策略的授权的简约实现。 以此为模板，随时可以在ASP.Net Core中实现自己的自定义授权策略。

From: https://www.infoworld.com/article/3287909/how-to-use-policy-based-authorization-in-aspnet-core.html