ASP.NET Core 2.0 无法检查用户是否在 Razor 视图或控制器 [authorize] 注释中正确担任角色

ASP.NET Core 2.0 无法检查用户是否在 Razor 视图或控制器 [authorize] 注释中正确担任角色

在开发 ASP.NET Core 2.0 应用程序时，我们经常需要对用户进行身份验证和授权。ASP.NET Core 提供了 [authorize] 注释来限制只有经过身份验证的用户才能访问特定的 Razor 视图或控制器。然而，有时我们还需要检查用户是否在特定的角色中才能访问某些功能。然而，ASP.NET Core 2.0 在 [authorize] 注释中无法直接检查用户是否在角色中，这给开发人员带来了一些困扰。

在 ASP.NET Core 2.0 中，我们可以使用自定义授权策略来解决这个问题。自定义授权策略可以让我们根据用户的角色进行更精细的控制。

自定义授权策略

自定义授权策略是通过 Policy 类来定义的。我们可以在 Startup.cs 的 ConfigureServices 方法中配置自定义授权策略。下面是一个示例：

csharp
public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthorization(options =>
    {
        options.AddPolicy("AdminOnly", policy =>
        {
            policy.RequireRole("Admin");
        });
    });
    services.AddMvc();
}

在这个示例中，我们定义了一个名为 "AdminOnly" 的自定义授权策略，该策略要求用户必须担任 "Admin" 角色才能访问受限资源。

在 Razor 视图中使用自定义授权策略

在 Razor 视图中，我们可以使用 @if 语句和 User.IsInRole 方法来检查用户是否在特定的角色中。下面是一个示例：

csharp
@if (User.IsInRole("Admin"))
{
    
Welcome, Admin!
}
else
{
    
Sorry, you don't have permission to access this page.
}

在这个示例中，我们使用 @if 语句和 User.IsInRole 方法来检查用户是否在 "Admin" 角色中。根据用户的角色，我们可以显示不同的内容。

在控制器中使用自定义授权策略

在控制器中，我们可以使用 [Authorize] 注释来标记需要授权的操作，然后使用 [Authorize(Roles = "Admin")] 注释来限制只有担任 "Admin" 角色的用户才能访问。下面是一个示例：

csharp
[Authorize(Roles = "Admin")]
public IActionResult AdminPanel()
{
    return View();
}

在这个示例中，我们使用 [Authorize(Roles = "Admin")] 注释来限制只有担任 "Admin" 角色的用户才能访问 AdminPanel 动作。如果用户不在 "Admin" 角色中，将会收到一个未授权的错误。

ASP.NET Core 2.0 提供了自定义授权策略来解决无法直接检查用户是否在角色中的问题。通过自定义授权策略，我们可以根据用户的角色进行更精细的控制。在 Razor 视图中，我们可以使用 @if 语句和 User.IsInRole 方法来检查用户的角色；在控制器中，我们可以使用 [Authorize(Roles = "Admin")] 注释来限制用户的角色。使用自定义授权策略，我们可以更好地管理用户的访问权限，提高应用程序的安全性和可靠性。