.NetCore中如何实现权限控制基于Claim角色、策略、基于Claim功能点处理

.NetCore中如果实现权限控制的问题，当我们访问到一个Action操作的时候，我们需要进行权限控制

基于claims 角色控制

基于角色控制总觉得范围有点过大，而且控制起来感觉也不是太好，举一个例子就是，一个添加操作Action,如果通过角色控制，通过写起来就有点痛苦

如果一个添加操作有20个角色都可以访问，那么在角色上需要指定好所有的角色，通过用户中的角色Claims匹配访问

通过Claims中的

  claims.Add(new Claim(ClaimTypes.Role, "rolecode"));

 [Authorize(Roles ="rolecode")]

当然也可以通过自定实现接口，下面功能点类似的方式，通过角色服务获取判断，这里需要处理的就是获取角色属性上的角色名称 ActionDescriptor 、 IAuthorizeData 获取 Role的值

 if (!context.HttpContext.User.IsInRole("rolename"))

                {

                    context.Result = new ForbidResult();

                }

基于策略控制

当然也可以通过策略处理,策略就是一个大杂烩，提供了不同的配置方案如下面给出的例子

 [Authorize(Policy ="policyname")]

  services.AddAuthorization(options => {

                options.AddPolicy("policyname", policy => {

                    policy.RequireRole("rolename1", "rolename2");

                    policy.RequireClaim("claimname");

                    policy.RequireUserName("username");

                } );

            });

上面的方式感觉不是太好，有的时候我们需要动态的配置功能点权限

比如，在系统中添加了一个角色，这个角色也拥有管理其中的一个Action权限，这里就需要去设置action上的Role规则，如果使用基于角色Claim控制就显得很不好了

如果采用策略方式的话都需要去修改代码，而且还需要对系统很熟悉，那些地方使用了那些策略或者角色，这样也不行，所以我们采用下面的Claims功能点控制

基于claims 功能点控制

这里我们需要去创建一个属性（Attribute）标签，且实现 IAsyncAuthorizationFilter 接口

如果功能点不多，数据量比较小的情况下，可以把功能点信息直接添加到 claims中，如果过多只能动态获取，或者动态读取缓存提高效率

下面看下实现代码

 [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, AllowMultiple = true, Inherited = true)]

    public class AuthorizeCodeAttribute : Attribute, IAsyncAuthorizationFilter

    {

        public AuthorizeCodeAttribute(string name)

        {

            Name = name;

        }

        public string Name { get; set; }

        public async Task OnAuthorizationAsync(AuthorizationFilterContext context)

        {

                if (!context.HttpContext.User.HasClaim(c => c.Value == Name))

                {

                    context.Result = new ForbidResult();

                }

            await Task.CompletedTask;

        }

    }

接下来就是在Action上指定好相关的功能点编码就行了

 [AuthorizeCode(PermissionsConfig.ClassAdd)]

 public IActionResult Create()

{

            return View();

}

如果Claims信息过多可以通过获取服务动态查询得到后进行验证或者缓存服务（Redis、Cache）得到，在Startup中DI上你的服务即可

var services= context.HttpContext.RequestServices.GetService<T>();

对于Claims信息的处理可以在登录 SignIn 的时候写入相关的Claims身份信息即可，这里需要提到的是 ClaimsIdentity（身份信息）、ClaimsPrincipal（身份人，当事人，身份所有人）