ASP.NET Core 3.0轻量级角色API控制授权库

有了角色和对应的API信息，就要添加用户了，

假设有 aa、bb、cc 三个用户，密码都是 123456，aa 属于 A 角色， bb 属于 B角色...

public void UpdateUser() { AddUser(new UserModel { UserName = "aa", BeRoles = new List { "A" } }); AddUser(new UserModel { UserName = "bb", BeRoles = new List { "B" } }); AddUser(new UserModel { UserName = "cc", BeRoles = new List { "C" } }); }

为了能够把角色和用户加载进 CZGL.Auth ，你需要在程序启动时，例如在 Program 里，使用

RoleService roleService = new RoleService(); roleService.UpdateRole(); roleService.UpdateUser();

二、添加自定义事件

授权是，可能会有各种情况，你可以添加自定义事件记录下用户访问的授权信息、影响授权结果。

引用 using CZGL.Auth.Interface;，

添加一个类 RoleEvents 继承 IRoleEventsHadner

public class RoleEvents : IRoleEventsHadner { public async Task Start(HttpContext httpContext) { await Task.CompletedTask; } public void TokenEbnormal(object eventsInfo) { } public void TokenIssued(object eventsInfo) { } public void NoPermissions(object eventsInfo) { } public void Success(object eventsInfo) { } public async Task End(HttpContext httpContext) { await Task.CompletedTask; } }

在 CZGL.Auth 开始验证授权前调用 Start，结束时调用 End，传入传参数是 HttpContext 类型，你可以在里面添加自定义授权的信息，在里面可以影响请求管道。

其他几个方法含义如下：

TokenEbnormal 客户端携带的 Token 不是有效的 Jwt 令牌，将不能被解析TokenIssued 令牌解码后，issuer 或 audience不正确NoPermissions 无权访问此 API

在授权认证的各个阶段将会调用上面的方法。

三、注入授权服务和中间件

使用 CZGL.Auth ，你需要注入以下两个服务

services.AddRoleService(authOptions); services.AddSingleton();

AddRoleService 是注入授权服务，AddSingleton 注入你的事件。

AddRoleService 需要一个 AuthConfigModel 类型作参数。

你可以这样配置

var authOptions = new AuthBuilder() .Security("aaaafsfsfdrhdhrejtrjrt", "ASPNETCORE", "ASPNETCORE") .Jump("accoun/login", "account/error", false, false) .Time(TimeSpan.FromMinutes(20)) .InfoScheme(new CZGL.Auth.Models.AuthenticateScheme { TokenEbnormal = "Login authentication failed!", TokenIssued = "Login authentication failed!", NoPermissions = "Login authentication failed!" }).Build(); services.AddRoleService(authOptions); services.AddSingleton();

Security 配置密钥相关，参数分别是密钥字符串、颁发者、订阅者。

Jump 配置授权失败时，跳转地址。参数分别是未授权时跳转、授权无效跳转，后面两个 bool 可以设置跳转或跳转。

Time 配置 Token 有效期。

InfoScheme 授权失败提示信息，例如

上图的是时间过期的提示消息，用户请求API失败时返回 401 状态码，Header 会携带提示消息，CZGL.Auth 里面设置了三种情况下，自定义头部：

TokenEbnormal 客户端携带的 Token 不是有效的 Jwt 令牌，将不能被解析

TokenIssued 令牌解码后，issuer 或 audience不正确

NoPermissions 无权访问此 API

添加三个中间件

app.UseAuthentication(); app.UseAuthorization(); app.UseMiddleware();

app.UseAuthorization();是微软授权认证的中间件，CZGL.Auth 会先让，默认的验证管道过滤一些无效请求和认证信息，再由 CZGL.Auth 来校验授权。

四、如何设置API的授权

很简单，CZGL.Auth 的认证授权，你只需在 Controller 或 Action上 添加 [Authorize]。

CZGL.Auth 只会对使用了 [Authorize] 特性的 Controller 或 Action 生效。

如果一个 Controller 已经设置了 [Authorize] ，但是你想里面的 Action 跳过授权认证，则使用 [AllowAnonymous] 修饰 Action。

使用方法跟微软的默认的完全一致。这样无需过多配置。

如果你想另外定义一个特性用来另外设置 授权的话，可以到我的仓库提 Issue 或者直接联系我微信。

添加一个 APIController ，

[Authorize] [Route("api/[controller]")] [ApiController] public class TestController : ControllerBase { [HttpGet("/A")] public JsonResult A() { return new JsonResult(new { Code = 200, Message = "Success!" }); } [HttpGet("/B")] public JsonResult B() { return new JsonResult(new { Code = 200, Message = "Success!" }); } [HttpGet("/C")] public JsonResult C() { return new JsonResult(new { Code = 200, Message = "Success!" }); } [HttpGet("/AB")] public JsonResult AB() { return new JsonResult(new { Code = 200, Message = "Success!" }); } [HttpGet("/BC")] public JsonResult BC() { return new JsonResult(new { Code = 200, Message = "Success!" }); } [HttpGet("/AC")] public JsonResult AC() { return new JsonResult(new { Code = 200, Message = "Success!" }); } [HttpGet("/ABC")] public JsonResult ABC() { return new JsonResult(new { claims = User.Claims }); } ///

五、添加登录颁发 Token

添加一个 AccountController.cs 用来颁发登录、 Token。

[Route("api/[controller]")] [ApiController] public class AccountController : ControllerBase { [HttpPost("/Login")] public async Task Login([FromQuery]string username, string password, string rolename) { // 用户名密码是否正确 if (string.IsNullOrWhiteSpace(username) || string.IsNullOrWhiteSpace(password) || string.IsNullOrWhiteSpace(rolename)) { return new JsonResult(new { Code = 0, Message = "尼玛，上传什么垃圾信息", }); } if(!((username=="aa"||username=="bb"||username=="cc")&&password=="123456")) { return new JsonResult(new { Code = 0, Message = "账号或密码错误", }); } // 你自己定义的角色/用户信息服务 RoleService roleService = new RoleService(); // 检验用户是否属于此角色 var role = roleService.IsUserToRole(username,rolename); // CZGL.Auth 中一个用于加密解密的类 EncryptionHash hash = new EncryptionHash(); // 设置用户标识 var userClaims = hash.BuildClaims(username, rolename); //// 自定义构建配置用户标识 /// 自定义的话，至少包含如下标识 //var userClaims = new Claim[] //{ //new Claim(ClaimTypes.Name, userName), // new Claim(ClaimTypes.Role, roleName), // new Claim(JwtRegisteredClaimNames.Aud, Audience), // new Claim(ClaimTypes.Expiration, TimeSpan.TotalSeconds.ToString()), // new Claim(JwtRegisteredClaimNames.Iat, new DateTimeOffset(DateTime.Now).ToUnixTimeSeconds().ToString()) //}; /* iss (issuer)：签发人 exp (expiration time)：过期时间 sub (subject)：主题 aud (audience)：受众 nbf (Not Before)：生效时间 iat (Issued At)：签发时间 jti (JWT ID)：编号 */ // 方法一，直接颁发 Token ResponseToken token = hash.BuildToken(userClaims); //方法二，拆分多步，颁发 token，方便调试 //var identity = hash.GetIdentity(userClaims); //var jwt = hash.BuildJwtToken(userClaims); //var token = hash.BuildJwtResponseToken(jwt); return new JsonResult(token); } }

六、部分说明

注入 Jwt 服务、颁发 Token

CZGL.Auth 把使用 jwt 的服务和颁发 Token 的代码封装好了，这个库不是在“造轮子”，所以实际上你可以很轻松的把这部分的代码抽出来，另外设计。

这部分的代码所在位置 RoleServiceExtension.cs 、EncryptionHash.cs。

授权中间件

app.UseAuthentication(); app.UseAuthorization(); app.UseMiddleware();

我的写法是利用 ASP.NET Core 的 jwt 完成基础的认证授权，然后在下一个管道中实现拓展的认证。但是本身的认证是在 app.UseAuthorization(); 做了拓展，所以使用 CZGL.Auth，只需要按照平常 jwt 的方式去使用，只是加了一个 RoleMiddleware 中间件。

CZGL.Auth 只是我受到新思路启发临时写出来的。。。最好不要直接用于生产，去 github 库把项目下载下来，按照自己应用场景改一下~。

七、验证

先使用 aa 用户登录，登录时选择 A 角色。

因为 A 用户只能访问 “带有 A ” 的API， "/A"、"/AB" 等，所以我们可以试试。

继续用这个 Token 访问一下 "/B"

可以继续尝试添加 API 或者使用其他用户登录，访问不同的 API。

由于别人对前端不熟，所以就不写带页面的示例了~。

可以用 Postman 就行测试。

什么示例的 项目可以到仓库里下载，名称是 MyAuth。

一般上，用户权限、角色权限信息是存储在数据库里面的，另一个示例是 CZGL.Auth.Sample2。

这个库只是较为粗略的授权认证，与更丰富的需求请自行下载源码修改~

到此这篇关于ASP.NET Core 3.0轻量级角色API控制授权库的文章就介绍到这了。希望对大家的学习有所帮助，也希望大家多多支持。

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。