Pandax.EasyPermission 1.0.3

Pandax.EasyPermission

基于 ASP.Net Core 实现简易的权限验证组件

如何使用

在控制器上标记

[Authorize]
[ApiController]
[Route("api/[controller]")]
[HasPermissions("test")]
public class TestController : ControllerBase
{
    // 拥有 test 权限即可访问该资源
    public IActionResult Details(string id) => ...
}

当控制器标记了权限，而 Action 没有显式标记时，系统将默认采用控制器的权限。

在控制器Action标记

// 拥有 order.delete 权限即可访问该资源
[HasPermissions("order.delete")]
[HttpDelete("{id}/delete")]
public IActionResult Delete(string id) => Ok($"order {id} deleted");

一旦 Action 标记了权限，即使即时控制器也标记了权限，系统仍将根据 Action 标记的权限进行判断。

在Minimal API中这样标记

app.MapDelete("product/{id}/delete",
        [HasPermissions("product.delete")](string id) => $"product {id} deleted")
    .RequireAuthorization();

实现 IEasyPermissionsValidator 权限验证接口

public class EasyPermissionsValidator : IEasyPermissionsValidator
{
    public Task<bool> IsAuthorized(AuthorizationHandlerContext context, ICollection<string> hasPermissions)
    {
        var userPermissions = context.User.Claims
            .Where(x => x.Type == "permission")
            .Select(x => x.Value)
            .ToHashSet();

        // 拥有所需的权限才能通过验证
        // 将 .All() 改成 .Any() 可切换成拥有任意一个权限即可通过验证
        var x = hasPermissions.All(permission => userPermissions.Contains(permission));
        return Task.FromResult(x);
    }
}

注册权限验证

builder.Services.AddEasyPermissionsValidator<EasyPermissionsValidator>(ApiKeyDefaults.AuthenticationScheme);

这里传入 ApiKeyDefaults.AuthenticationScheme 值是自定义身份认证Scheme名称，如果用的是Jwt身份认证则换成JwtBearerDefaults.AuthenticationScheme或其它自定义Scheme名称，如果有多个Schemes可以一起添加，比如：

builder.Services
    .AddEasyPermissionsValidator<EasyPermissionsValidator>(
        JwtBearerDefaults.AuthenticationScheme,
        ApiKeyDefaults.AuthenticationScheme,
        "MyTestScheme");

如果需要自定义AddAuthorization(options)选项时则不要传入Schames参数，然后手动添加权限验证策略，比如这样：

// 注册权限验证服务
builder.Services.AddEasyPermissionsValidator<EasyPermissionsValidator>();
// 然后手动添加策略，比如以下场景：
builder.Services.AddAuthorization(options =>
{
    // 添加默认策略，支持配置的任意身份认证策略
    options.DefaultPolicy = new AuthorizationPolicyBuilder(
            CustomAuthSchemes.SupabaseJwt,
            CustomAuthSchemes.KeycloakJwt,
            CustomAuthSchemes.ApiKey)
        .RequireAuthenticatedUser()
        .Build();

    // 这里手动增加策略：添加资源权限策略
    options.AddPolicy(
        EasyPermissionRequirement.RequirePermission,
        policy =>
        {
            // 为以下Schemes设定权限判断要求
            policy.AddAuthenticationSchemes(
                CustomAuthSchemes.SupabaseJwt,
                CustomAuthSchemes.KeycloakJwt,
                CustomAuthSchemes.ApiKey);
            policy.RequireAuthenticatedUser();
            policy.Requirements.Add(new EasyPermissionRequirement());
        }
    );
});

测试

dotnet test --no-build --verbosity normal