asp.net core 8 自定义认证 IAuthorizationFilter OnAuthorization

在 ASP.NET Core 8 中（实际上是 .NET Core 6+），如果你想要自定义认证过程，可以利用 `IAuthorizationFilter` 和 `OnAuthorization` 方法。这个接口允许你在每个 HTTP 请求经过身份验证之前执行一些预处理逻辑，比如验证、授权或记录日志。

首先，你需要创建一个实现了 `IAuthorizationFilter` 的类，例如：

using Microsoft.AspNetCore.Mvc.Filters;
using Microsoft.AspNetCore.Authorization;

public class CustomAuthorizationFilter : IAuthorizationFilter
{
    public async Task OnAuthorization(AuthorizationFilterContext filterContext)
    {
        // 这里你可以访问当前的HttpContext，获取用户信息和其他必要的数据
        var userId = filterContext.HttpContext.User.FindFirstValue(ClaimTypes.NameIdentifier);
        
        // 检查用户是否已登录或满足其他认证条件
        if (userId == null || !IsUserAuthenticated(userId)) // 假设IsUserAuthenticated是你定义的函数
        {
            // 用户未通过认证，设置未经授权结果
            await filterContextChallenge(filterContext, "Bearer"); // 假设使用Bearer令牌认证
            return;
        }

        // 接下来对用户进行更详细的授权检查，例如：
        if (!await HasPermission(filterContext.User, "admin")) // 假设HasPermission是你定义的函数
        {
            filterContext.Result = ForbidAsync(); // 如果没有权限，则返回拒绝访问
            return;
        }

        // 认证和授权都成功，请求可以继续执行
        await filterContext.Next();
    }

    private Task<bool> IsUserAuthenticated(string userId) => /* ... */; // 用户认证逻辑
    private Task<bool> HasPermission(User user, string permission) => /* ... */; // 权限检查逻辑
    private void filterContextChallenge(AuthorizationFilterContext filterContext, string scheme) =>
        filterContext.Challenge(scheme);
}

然后，在需要实施自定义认证的地方，如控制器或API行动方法上应用这个过滤器：

[Authorize] // 默认的认证策略
[Route("api/[controller]")]
[ApiController]
public class YourController : ControllerBase
{
    [CustomAuthorizationFilter]
    [HttpGet("{id}")]
    public async Task<ActionResult<string>> Get(int id)
    {
        // 接口的具体业务逻辑
    }
}