将具有策略的授权应用于 asp.net 核心中命名空间内的所有控制器

Question

Using ASP.NET 5 我已经实现了一个 Authorization Policy，我想将其应用到命名空间中的所有控制器，而不是项目中的所有控制器。除了将属性 [Authorize(Policy="MyPolicy")] 分别添加到每个控制器之外，还有其他方法可以做到这一点吗？我想避免另一个开发人员向命名空间添加新控制器但忘记应用策略的风险。

手动操作时是这样的：

[ApiController]
[Authorize(Policy="MyPolicy")]
[Route("api/DoStuff")]
public class MyController : ControllerBase
{ 

    [HttpGet("foo")]
    public GetFoo() 
    {
    }

}

Answer 1

Is there a way to do this other than add the attribute [Authorize(Policy="MyPolicy")] to each controller individually? I'd like to avoid the risk that another dev adds a new controller to the namespace but forgets to apply the policy.

您可以尝试添加授权过滤器并指定 PolicyName，如下所示。

services.AddControllers(config =>
{
    config.Filters.Add(new AuthorizeFilter("MyPolicy"));
});

Answer 2

为什么不创建一个继承自的控制器，然后将其应用到您想要的任何控制器？像

[Authorize(Policy="MyPolicy")]
public class BaseProtectedController : ControllerBase
{

}

然后在需要的时候继承这个控制器Authorize

public class SomeProtectedController : BaseProtectedController
{

}

Answer 3

您可以实现 IControllerModelConvention 并根据控制器的命名空间从那里管理策略

AddAuthorizeFiltersControllerConvention.cs

public class AddAuthorizeFiltersControllerConvention : IControllerModelConvention
{
    public void Apply(ControllerModel controller)
    {
        if (controller.ControllerType.Namespace == "My.Admin.Namespace")
        {
            controller.Filters.Add(new AuthorizeFilter("AdminPolicy"));
        }
        else 
        {
            controller.Filters.Add(new AuthorizeFilter("DefaultPolicy"));
        }
    }
}

然后您可以在 ConfigureServices

中将此控制器模型约定应用于您的控制器

Startup.cs

public void ConfigureServices(IServiceCollection services)
{
    // ... Cutting everything else in the ConfigureServices for simplicity

    services.AddControllers(options => {
        options.Conventions.Add(new AddAuthorizeFiltersControllerConvention());
    });
}

可以在此处找到另一个示例 http://hpblogs.com/blogs/add-authorize-policy-dynamically-to-all-controllers-in-asp-net-core-3-1/48