ASP.NET Core 中的角色型授權

發行項
11/06/2024

建立 identity 時，它可能屬於一或多個角色。例如，Tracy 可能屬於 Administrator 和 User 角色，而 Scott 可能只屬於 User 角色。這些角色的建立和管理方式取決於授權程式的備份存放區。角色會透過 IsInRole 類別上的 ClaimsPrincipal 方法向開發人員公開。 AddRoles 必須新增至角色服務。

雖然角色是宣告，但並非所有宣告都是角色。根據 identity 簽發者的不同，角色可能是可以套用群組成員宣告的使用者集合，以及 identity 的實際宣告。不過，宣告是個別使用者的相關資訊。使用角色將宣告新增至使用者，可能會混淆使用者與其個別宣告之間的界限。這也是 SPA 範本並非圍繞角色所設計的原因。此外，對於從內部部署舊版系統移轉的組織而言，這些年來角色的激增可能表示角色宣告太大，無法包含在 SPA 可使用的權杖內。若要保護 SPA，請參閱使用 Identity 來保護 SPA 的 Web API 後端。

將角色服務新增至 Identity

透過使用應用程式的 Identity 組態中的角色類型呼叫 AddRoles，在 Program.cs 中註冊角色型授權服務。下列範例中的角色類型為 IdentityRole：

builder.Services.AddDefaultIdentity<IdentityUser>( ... )
    .AddRoles<IdentityRole>()
    ...

上述程式碼需要 Microsoft.AspNetCore.Identity.UI 套件和適用於 Microsoft.AspNetCore.Identity 的 using 指示詞。

新增角色檢查

角色型授權檢查：

是宣告式的，並指定目前使用者必須是其成員才能存取所要求資源的角色。
會套用至控制器內的 Razor Pages、控制器或動作。
無法在 Razor Page 處理常式層級被套用，而必須套用至 Page。

例如，下列程式碼會將 AdministrationController 上的任何動作存取限制為屬於 Administrator 角色成員的使用者：

[Authorize(Roles = "Administrator")]
public class AdministrationController : Controller
{
    public IActionResult Index() =>
        Content("Administrator");
}

多個角色可以指定為逗號分隔清單：

[Authorize(Roles = "HRManager,Finance")]
public class SalaryController : Controller
{
    public IActionResult Payslip() =>
                    Content("HRManager || Finance");
}

SalaryController 僅可由 HRManager 角色或 Finance 角色成員的使用者存取。

在套用多個屬性時，存取使用者必須是指定之所有角色的成員。下列範例要求使用者必須同時是 PowerUser 和 ControlPanelUser 角色的成員：

[Authorize(Roles = "PowerUser")]
[Authorize(Roles = "ControlPanelUser")]
public class ControlPanelController : Controller
{
    public IActionResult Index() =>
        Content("PowerUser && ControlPanelUser");
}

在動作層級套用其他角色授權屬性，即可限制動作的存取：

[Authorize(Roles = "Administrator, PowerUser")]
public class ControlAllPanelController : Controller
{
    public IActionResult SetTime() =>
        Content("Administrator || PowerUser");

    [Authorize(Roles = "Administrator")]
    public IActionResult ShutDown() =>
        Content("Administrator only");
}

在上述 ControlAllPanelController 控制器中：

Administrator 角色或 PowerUser 角色的成員可以存取控制器和 SetTime 動作。
只有 Administrator 角色的成員可以存取 ShutDown 動作。

控制器可以受到保護，但允許匿名、未經驗證的個別動作存取：

[Authorize]
public class Control3PanelController : Controller
{
    public IActionResult SetTime() =>
        Content("[Authorize]");

    [AllowAnonymous]
    public IActionResult Login() =>
        Content("[AllowAnonymous]");
}

針對 Razor Pages，[Authorize] 可以透過下列其中一項進行套用：

使用慣例，或
將 [Authorize] 套用至 PageModel 執行個體：

[Authorize(Policy = "RequireAdministratorRole")]
public class UpdateModel : PageModel
{
    public IActionResult OnPost() =>
         Content("OnPost RequireAdministratorRole");
}

重要

篩選屬性 (包括 AuthorizeAttribute) 只能套用至 PageModel，而且無法套用至特定的頁面處理常式方法。

原則型角色檢查

您也可以使用原則語法來表示角色需求，其中開發人員會在應用程式啟動時註冊原則，作為授權服務組態的一部分。這通常發生在 Program.cs 檔案中：

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddRazorPages();
builder.Services.AddControllersWithViews();

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("RequireAdministratorRole",
         policy => policy.RequireRole("Administrator"));
});

var app = builder.Build();

if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();

app.UseAuthentication();
app.UseAuthorization();

app.MapDefaultControllerRoute();
app.MapRazorPages();

app.Run();

原則會使用 [Authorize] 屬性上的 Policy 屬性來套用：

[Authorize(Policy = "RequireAdministratorRole")]
public IActionResult Shutdown()
{
    return View();
}

若要在需求中指定多個允許的角色，請將這些角色指定為 RequireRole 方法的參數：

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddRazorPages();
builder.Services.AddControllersWithViews();

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("ElevatedRights", policy =>
          policy.RequireRole("Administrator", "PowerUser", "BackupAdministrator"));
});

var app = builder.Build();

上述程式碼會授權屬於 Administrator、PowerUser 或 BackupAdministrator 角色的使用者。

建立 identity 時，它可能屬於一或多個角色。例如，Tracy 可能屬於系統管理員和使用者角色，而 Scott 可能只屬於使用者角色。這些角色的建立和管理方式取決於授權程式的備份存放區。角色會透過 IsInRole 類別上的 ClaimsPrincipal 方法向開發人員公開。

我們建議不要使用角色作為宣告，而是使用宣告。使用單頁應用程式時，請參閱使用 Identity 來保護 SPA 的 Web API 後端。

新增角色檢查

角色型授權檢查：

為宣告式。
會套用至控制器內的 Razor Pages、控制器或動作。
無法在 Razor Page 處理常式層級被套用，而必須套用至 Page。

角色型授權檢查會指定目前使用者必須屬於哪些角色，才能存取要求的資源。

例如，下列程式碼會將 AdministrationController 上的任何動作存取限制為屬於 Administrator 角色成員的使用者：

[Authorize(Roles = "Administrator")]
public class AdministrationController : Controller
{
    public IActionResult Index() =>
        Content("Administrator");
}

多個角色可以指定為逗號分隔清單：

[Authorize(Roles = "HRManager,Finance")]
public class SalaryController : Controller
{
    public IActionResult Payslip() =>
                    Content("HRManager || Finance");
}

只有屬於 HRManager 角色或 Finance 角色成員的使用者才能存取控制器 SalaryController。

如果您套用多個屬性，則存取使用者必須是所有指定角色的成員。下列範例要求使用者必須是 PowerUser 和 ControlPanelUser 角色的成員：

[Authorize(Roles = "PowerUser")]
[Authorize(Roles = "ControlPanelUser")]
public class ControlPanelController : Controller
{
    public IActionResult Index() =>
        Content("PowerUser && ControlPanelUser");
}

您可以藉由在動作層級套用其他角色授權屬性來進一步限制存取：

[Authorize(Roles = "Administrator, PowerUser")]
public class ControlAllPanelController : Controller
{
    public IActionResult SetTime() =>
        Content("Administrator || PowerUser");

    [Authorize(Roles = "Administrator")]
    public IActionResult ShutDown() =>
        Content("Administrator only");
}

如果在控制器和動作層級套用多個屬性，則所有屬性都必須通過，才能授與存取權：

[Authorize(Roles = "Administrator")]
public class ControlAllPanelController2 : Controller
{
    public IActionResult SetTime() =>
        Content("Administrator only");

    [Authorize(Roles = "PowerUser")]
    public IActionResult ShutDown() =>
        Content("Administrator && PowerUser");
}

在上述 ControlAllPanelController 控制器中：

Administrator 角色或 PowerUser 角色的成員可以存取控制器和 SetTime 動作。
只有 Administrator 角色的成員可以存取 ShutDown 動作。

您也可以鎖定控制器，但允許匿名、未經驗證的個別動作存取。

[Authorize]
public class Control3PanelController : Controller
{
    public IActionResult SetTime() =>
        Content("[Authorize]");

    [AllowAnonymous]
    public IActionResult Login() =>
        Content("[AllowAnonymous]");
}

針對 Razor Pages，[Authorize] 可以由下列其中一項進行套用：

使用慣例，或
將 [Authorize] 套用至 PageModel 執行個體：

[Authorize(Policy = "RequireAdministratorRole")]
public class UpdateModel : PageModel
{
    public ActionResult OnPost()
    {
    }
}

重要

篩選屬性 (包括 AuthorizeAttribute) 只能套用至 PageModel，而且無法套用至特定的頁面處理常式方法。

原則型角色檢查

角色需求也可以使用新的原則語法來表示，其中開發人員會在啟動時註冊原則以作為授權服務設定的一部分。這通常發生在您 Startup.cs 檔案的 ConfigureServices() 中。

public void ConfigureServices(IServiceCollection services)
{
    services.AddControllersWithViews();
    services.AddRazorPages();

    services.AddAuthorization(options =>
    {
        options.AddPolicy("RequireAdministratorRole",
             policy => policy.RequireRole("Administrator"));
    });
}

原則會使用 [Authorize] 屬性上的 Policy 屬性來進行套用：

[Authorize(Policy = "RequireAdministratorRole")]
public IActionResult Shutdown()
{
    return View();
}

如果您想要在需求中指定多個允許的角色，您可以將這些角色指定為 RequireRole 方法的參數：

options.AddPolicy("ElevatedRights", policy =>
                  policy.RequireRole("Administrator", "PowerUser", "BackupAdministrator"));

此範例會授權屬於 Administrator、PowerUser 或 BackupAdministrator 角色的使用者。

將角色服務新增至 Identity

附加 AddRoles 以新增角色服務：

public void ConfigureServices(IServiceCollection services)
{
    services.AddDbContext<ApplicationDbContext>(options =>
        options.UseSqlServer(
            Configuration.GetConnectionString("DefaultConnection")));
    services.AddDefaultIdentity<IdentityUser>()
        .AddRoles<IdentityRole>()
        .AddEntityFrameworkStores<ApplicationDbContext>();

    services.AddControllersWithViews();
    services.AddRazorPages();
}

共用方式為

ASP.NET Core 中的角色型授權

將角色服務新增至 Identity

新增角色檢查

原則型角色檢查

新增角色檢查

原則型角色檢查

將角色服務新增至 Identity

其他資源