从源码拆穿 ASP.NET Core 鉴权授权的底裤

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)    .AddCookie(CookieAuthenticationDefaults.AuthenticationScheme, options =>    {        options.LoginPath = "/Home/Index";          // 未登录 → 跳登录页        options.AccessDeniedPath = "/Home/Privacy"; // 有凭证无权限 → 403    });// 授权：AddMVC 里其实已经带了 AddAuthorization，// 想加自定义 Policy 再单独配置即可

app.UseAuthentication(); // 保证请求来了都做一次凭证解析app.UseAuthorization();  // 保证请求来了都做一次授权检测

[HttpPost] // /Authentication/Login?name=Eleven&password=123456publicasync Task<IActionResult> Login(string name, string password){    if ("YueXuan".Equals(name, StringComparison.CurrentCultureIgnoreCase)        && password.Equals("123456"))    {        var claimIdentity = new ClaimsIdentity("Custom"); // 声明身份        claimIdentity.AddClaim(new Claim(ClaimTypes.Name, name));        claimIdentity.AddClaim(new Claim(ClaimTypes.Email, "777@qq.com"));        claimIdentity.AddClaim(new Claim(ClaimTypes.Role, "Admin"));        claimIdentity.AddClaim(new Claim(ClaimTypes.Country, "Chinese"));        await base.HttpContext.SignInAsync(            CookieAuthenticationDefaults.AuthenticationScheme,            new ClaimsPrincipal(claimIdentity),            new AuthenticationProperties { ExpiresUtc = DateTime.UtcNow.AddMinutes(30) });        return new JsonResult(new { Result = true, Message = "登录成功" });    }    return new JsonResult(new { Result = false, Message = "登录失败" });}

[Authorize]                       // 只需要登录过（鉴权通过即可）public IActionResult InfoWithAuthorize() { ... }[Authorize(Roles = "Admin")]      // 登录 + 角色必须是 Adminpublic IActionResult InfoWithRolesAdmin() { ... }[Authorize(Policy = "MutiPolicy", AuthenticationSchemes = "Cookies")]public IActionResult InfoWithPolicy() { ... }  // 登录 + 满足一个复杂策略[AllowAnonymous]                  // 免登录直接访问public IActionResult InfoWithAllowAnonymous() { ... }

builder.Services.AddAuthorization(options =>{    options.AddPolicy("MutiPolicy", policyBuilder =>    {        policyBuilder.RequireRole("Admin")            // 必须 Admin 角色            .RequireUserName("Yuexuan")                // 必须叫 Yuexuan            .RequireClaim(ClaimTypes.Country)         // 必须有 Country 声明            .RequireAssertion(context =>              // 自定义断言，还能校验 IP 等                context.User.HasClaim(c => c.Type == ClaimTypes.Email)                && context.User.Claims.First(c => c.Type == ClaimTypes.Email)                    .Value.Equals("777@qq.com"))            .AddRequirements(new SingleEmailRequirement("@qq.com")); // 自定义 Requirement    });});

// 主动鉴权：手动调 AuthenticateAsync 去解析凭证，拿到 Principalvar result = await HttpContext.AuthenticateAsync(CookieAuthenticationDefaults.AuthenticationScheme);if (result?.Principal != null) HttpContext.User = result.Principal;// 主动授权：先鉴权，再判断，该挑战就挑战，该拒绝就拒绝if (!user.Identity.IsAuthenticated)    await HttpContext.ChallengeAsync(scheme);   // 未登录 → 401/跳登录else if (!user.Identity.Name.Equals("Yuexuan"))    await HttpContext.ForbidAsync(scheme);      // 无权限 → 403

public class UrlTokenAuthenticationHandler    : IAuthenticationHandler,          // 鉴权核心：Authenticate / Challenge / Forbid      IAuthenticationSignInHandler,    // 登录：SignInAsync      IAuthenticationSignOutHandler    // 登出：SignOutAsync{    private AuthenticationScheme _AuthenticationScheme;    private HttpContext _HttpContext;    // ① 初始化：Provider 把 Scheme 和 HttpContext 注入进来（像方法注入）    public Task InitializeAsync(AuthenticationScheme scheme, HttpContext context)    {        _AuthenticationScheme = scheme;        _HttpContext = context;        return Task.CompletedTask;    }    // ② 核心鉴权方法：解析用户信息    public Task<AuthenticateResult> AuthenticateAsync()    {        string userInfo = _HttpContext.Request.Query["UrlToken"]; // 凭证从哪读        if (string.IsNullOrWhiteSpace(userInfo))            return Task.FromResult(AuthenticateResult.NoResult()); // 没带 → Challenge        if ("eleven-123456".Equals(userInfo))  // 校验规则，可提到 Options        {            var claimIdentity = new ClaimsIdentity("Custom");            claimIdentity.AddClaim(new Claim(ClaimTypes.Name, userInfo));            claimIdentity.AddClaim(new Claim(ClaimTypes.Role, "User"));            claimIdentity.AddClaim(new Claim(ClaimTypes.Email, "123@126.com"));            var principal = new ClaimsPrincipal(claimIdentity);            // 成功后，把用户信息封装成 Ticket 往后传            return Task.FromResult(AuthenticateResult.Success(                new AuthenticationTicket(principal, null, _AuthenticationScheme.Name)));        }        return Task.FromResult(AuthenticateResult.Fail("UrlToken is wrong")); // → Forbid    }    // ③ 未登录：跳登录页    public Task ChallengeAsync(AuthenticationProperties properties)    {        _HttpContext.Response.Redirect("/Home/Index");        return Task.CompletedTask;    }    // ④ 无权限：返回 403    public Task ForbidAsync(AuthenticationProperties properties)    {        _HttpContext.Response.StatusCode = 403;        return Task.CompletedTask;    }}

builder.Services.AddAuthentication(options =>{    // 用一个固定名字(UrlTokenScheme) 绑定到我们自定义的 Handler 类型    options.AddScheme<UrlTokenAuthenticationHandler>(        UrlTokenAuthenticationDefaults.AuthenticationScheme, "UrlTokenScheme-Demo");    // 关键：把默认 Scheme 全指向 UrlTokenScheme    options.DefaultAuthenticateScheme = UrlTokenAuthenticationDefaults.AuthenticationScheme;    options.DefaultChallengeScheme    = UrlTokenAuthenticationDefaults.AuthenticationScheme;    options.DefaultSignInScheme       = UrlTokenAuthenticationDefaults.AuthenticationScheme;    options.DefaultForbidScheme       = UrlTokenAuthenticationDefaults.AuthenticationScheme;    options.DefaultSignOutScheme      = UrlTokenAuthenticationDefaults.AuthenticationScheme;});

// /Authentication/UrlToken?UrlToken=eleven-123456[Authorize] // 默认走 UrlTokenSchemepublicasync Task<IActionResult> UrlToken() { ... }// 或显式指定 Scheme// [Authorize(AuthenticationSchemes = UrlTokenAuthenticationDefaults.AuthenticationScheme)]

services.TryAddScoped<IAuthenticationService, AuthenticationService>();        // 鉴权服务services.TryAddSingleton<IClaimsTransformation, NoopClaimsTransformation>();   // 声明转换(空实现)services.TryAddScoped<IAuthenticationHandlerProvider, AuthenticationHandlerProvider>(); // Handler 提供者services.TryAddSingleton<IAuthenticationSchemeProvider, AuthenticationSchemeProvider>(); // Scheme 提供者// 顺带配置 AuthenticationOptions，并指定默认 DefaultScheme

// AuthenticationOptions 里publicvoidAddScheme<TOptions, THandler>(...) where ...{    // 其实只是 new 一个 AuthenticationSchemeBuilder，把 Handler 类型存进去    Schemes.Add(new AuthenticationSchemeBuilder(name) { HandlerType = typeof(THandler), ... });}// 注意：此时只是"Builder"，还没 Build 成 AuthenticationScheme

publicAuthenticationMiddleware(RequestDelegate next, IAuthenticationSchemeProvider schemes){    _next = next;    Schemes = schemes;   // 注入 Scheme 提供者}// AuthenticationSchemeProvider 构造函数里：foreach (var builder in _options.Schemes)   // 遍历之前 AddScheme 存的 Builder{    var scheme = builder.Build();           // 终于 Build：得到 name + displayName + HandlerType    AddScheme(scheme);                      // 缓存进字典}

publicasync Task Invoke(HttpContext context){    context.Features.Set<IAuthenticationFeature>(new AuthenticationFeature    { OriginalPath = context.Request.Path, OriginalPathBase = context.Request.PathBase });    // ① 扩展点：先给 IAuthenticationRequestHandler 类型一个机会"直接处理请求"（不走后续）    var handlers = context.RequestServices.GetRequiredService<IAuthenticationHandlerProvider>();    foreach (var scheme in await Schemes.GetRequestHandlerSchemesAsync())    {        var handler = await handlers.GetHandlerAsync(context, scheme.Name)                                     as IAuthenticationRequestHandler;        if (handler != null && await handler.HandleRequestAsync()) return;    }    // ② 取默认鉴权 Scheme    var defaultAuthenticate = await Schemes.GetDefaultAuthenticateSchemeAsync();    if (defaultAuthenticate != null)    {        // ③ 主动鉴权：AuthenticateAsync 内部会一路绕下去        var result = await context.AuthenticateAsync(defaultAuthenticate.Name);        if (result?.Principal != null) context.User = result.Principal; // ④ 保存到 context.User    }    await _next(context);}

public class CustomClaimsTransformation : IClaimsTransformation{    public Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)    {        // 如果是中国人，就给声明里补一条 language=cn        if (principal.Claims.FirstOrDefault(c => c.Type.Equals(ClaimTypes.Country))                ?.Value.Equals("Chinese") ?? false)        {            principal.Claims.Append(new Claim("language", "cn"));        }        return Task.FromResult(principal);    }}// 替换注册（替换默认的 NoopClaimsTransformation）：builder.Services.Replace(ServiceDescriptor.Scoped<IClaimsTransformation,    CustomClaimsTransformation>());

builder.Services.AddAuthentication(options =>{    options.AddScheme<UrlTokenAuthenticationHandler>(UrlTokenAuthenticationDefaults.AuthenticationScheme,        "UrlTokenScheme-Demo");    // 默认 Scheme 指向 UrlToken    options.DefaultAuthenticateScheme = UrlTokenAuthenticationDefaults.AuthenticationScheme;    options.DefaultChallengeScheme    = UrlTokenAuthenticationDefaults.AuthenticationScheme;    ...}).AddCookie(CookieAuthenticationDefaults.AuthenticationScheme, options =>{    options.LoginPath = "/Home/Index";    options.AccessDeniedPath = "/Home/Privacy";}); // 又一个 Scheme：Cookie

// 方式一：显式指定用哪个 Scheme 授权[Authorize(AuthenticationSchemes = CookieAuthenticationDefaults.AuthenticationScheme)]// [Authorize(AuthenticationSchemes = "Cookies,UrlTokenScheme")] // 多个 Scheme 逗号分隔// 方式二：主动鉴权，把多个 Scheme 的用户信息都拿出来var urlToken = await HttpContext.AuthenticateAsync(UrlTokenAuthenticationDefaults.AuthenticationScheme);var cookie   = await HttpContext.AuthenticateAsync(CookieAuthenticationDefaults.AuthenticationScheme);

publicstatic ClaimsPrincipal MergeUserPrincipal(ClaimsPrincipal? existing,                                                 ClaimsPrincipal? additional){    var newPrincipal = new ClaimsPrincipal();    if (additional != null) newPrincipal.AddIdentities(additional.Identities); // 新身份在前    if (existing != null)   newPrincipal.AddIdentities(existing.Identities        .Where(i => i.IsAuthenticated || i.Claims.Any()));                     // 旧的非空身份保留    return newPrincipal;}