/// <summary>
 /// 自定义授权中间件
 /// </summary>
 public class JwtCustomerAuthorizeMiddleware
 {
  private readonly RequestDelegate next;

  public JwtCustomerAuthorizeMiddleware(RequestDelegate next, string secret, List<string> anonymousPathList)
  {
   #region 设置自定义jwt 的秘钥
   if(!string.IsNullOrEmpty(secret))
   {
    TokenContext.securityKey = secret;
   }
   #endregion
   this.next = next;
   UserContext.AllowAnonymousPathList.AddRange(anonymousPathList);
  }

  public async Task Invoke(HttpContext context, UserContext userContext,IOptions<JwtOption> optionContainer)
  {
   if (userContext.IsAllowAnonymous(context.Request.Path))
   {
    await next(context);
    return;
   }

   var option = optionContainer.Value;

   #region 身份验证，并设置用户Ruser值
 
   var result = context.Request.Headers.TryGetValue("Authorization", out StringValues authStr);
   if (!result || string.IsNullOrEmpty(authStr.ToString()))
   {
    throw new UnauthorizedAccessException("未授权");
   }
   result = TokenContext.Validate(authStr.ToString().Substring("Bearer ".Length).Trim(), payLoad =>
   {
    var success = true;
    //可以添加一些自定义验证，用法参照测试用例
    //验证是否包含aud 并等于 roberAudience
    success = success && payLoad["aud"]"ruser"]"未授权");
   }

   #endregion
   #region 权限验证
   if (!userContext.Authorize(context.Request.Path))
   {
    throw new UnauthorizedAccessException("未授权");
   }
   #endregion

   await next(context);
  }
 }

app.UseMiddleware<JwtCustomerAuthorizeMiddleware>(Configuration["JwtOption:SecurityKey"], new List<string>() { "/api/values/getjwt","/" });

public class CommonAuthorizeHandler : AuthorizationHandler<CommonAuthorize>
 {
  /// <summary>
  /// 常用自定义验证策略，模仿自定义中间件JwtCustomerauthorizeMiddleware的验证范围
  /// </summary>
  /// <param name="context"></param>
  /// <param name="requirement"></param>
  /// <returns></returns>
  protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, CommonAuthorize requirement)
  {
   var httpContext = (context.Resource as AuthorizationFilterContext).HttpContext;
   var userContext = httpContext.RequestServices.GetService(typeof(UserContext)) as UserContext;

   var jwtOption = (httpContext.RequestServices.GetService(typeof(IOptions<JwtOption>)) as IOptions<JwtOption>).Value;

   #region 身份验证，并设置用户Ruser值

   var result = httpContext.Request.Headers.TryGetValue("Authorization", out StringValues authStr);
   if (!result || string.IsNullOrEmpty(authStr.ToString()))
   {
    return Task.CompletedTask;
   }
   result = TokenContext.Validate(authStr.ToString().Substring("Bearer ".Length).Trim(), payLoad =>
   {
    var success = true;
    //可以添加一些自定义验证，用法参照测试用例
    //验证是否包含aud 并等于 roberAudience
    success = success && payLoad["aud"]"ruser"]"ruser"中，请看代码如何操作
  
到这里为止，都是做的身份验证，表明你是一个有身份的的人；接下来是做权限验证，你是一个有身份的人，并不代表你是一个随便到处访问的人；你能访问哪些url或者action，就要得到权限验证的认可
  
我们把权限验证放到 userContext.Authorize方法中（这里怎么操作，这里就不深入讲解，基本原理是从数据库或者缓存中获取当前用户对应的权限列表，也就是url列表，进行对比）;

  context.Succeed(requirement);是验证成功，如果没有这个，就默认验证失败

  因为UserContext把负责了权限验证，所以不会把流程搞得感觉很乱，并且可以重用，至于用那种形式验证也很容易切换

3、是不是很简单，和自定义管道验证的的代码几乎一模一样，


如何使用自定义定义策略呢？


1、在startup类中的ConfigureServices中加入如下代码：




services.AddAuthorization(option =>
   {
    

    #region 自定义验证策略
    option.AddPolicy("common", policy => policy.Requirements.Add(new CommonAuthorize()));
    #endregion


   }).AddAuthentication(option =>
   {
    option.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
   }).AddJwtBearer(option =>
   {
    if (!string.IsNullOrEmpty(config["JwtOption:SecurityKey"]))
    {
     TokenContext.securityKey = config["JwtOption:SecurityKey"];
    }
    //设置需要验证的项目
    option.TokenValidationParameters = new TokenValidationParameters
    {
     
     IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(TokenContext.securityKey))//拿到SecurityKey
    };
   });

   //自定义策略IOC添加
   
   services.AddSingleton<IAuthorizationHandler, CommonAuthorizeHandler>();


     以上代码主要分3个部分


     1、添加上面自定义的策略，并取名；


     2、设置秘钥，这个秘钥就是上一节中生成jwt的秘钥，必须要要一样，否则是签名不正确


     3、注入上面建立的一个重要类CommonAuthorizeHandler，如上面代码
2、在startup类中的Configure中添加 app.UseAuthentication();


3、在需要验证的Controller或者Action中加上[Authorize(Policy = "common")]属性，看下图：
到此为止你就可以使用自定义策略的验证了；
 
使用管道和自定义策略两种形式进行验证有什么区别呢"external nofollow" target="_blank" href="https://docs.microsoft.com/zh-cn/aspnet/core/security/authorization/">https://docs.microsoft.com/zh-cn/aspnet/core/security/authorization/"color: #ff0000">总结

以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作具有一定的参考学习价值，如果有疑问大家可以留言交流，谢谢大家对的支持。