ASP.NET Core 中基于策略的授權(quán)

　　軟件應(yīng)用程序的授權(quán)層可確保當(dāng)前用戶能夠訪問指定資源、執(zhí)行給定操作或?qū)χ付ㄙY源執(zhí)行給定操作ASPCMS批量上傳內(nèi)容。在 ASP.NET Core 中，授權(quán)層的設(shè)置方式有兩種?？梢允褂媒巧?，也可以使用策略。前一種方法（即基于角色的授權(quán)）一直在舊版 ASP.NET 平臺中沿用ASPCMS批量刪除關(guān)鍵詞，而基于策略的授權(quán)則是 ASP.NET Core 中新增的方法。

　　Authorize 屬性

　　從早期開始，ASP.NET 應(yīng)用程序中使用的一直都是角色。從技術(shù)角度來講，角色是純字符串。不過，它的值被安全層視為元信息（檢查 IPrincipal 對象中是否有值），并供應(yīng)用程序使用，用于將一組權(quán)限映射到經(jīng)過身份驗證的給定用戶。

　　在 ASP.NET 中，登錄用戶由 IPrincipal 對象進行標識。在 ASP.NET Core 中，實際類是 ClaimsPrincipal。此類可公開一系列標識ASPCMS批量更新文章 ，每個標識均由 IIdentity 對象（具體而言，就是 ClaimsIdentity 對象）進行表示。

　　也就是說，任何登錄用戶都會隨附一個聲明列表，這其實就是用戶的狀態(tài)聲明。用戶名和角色是 ASP.NET Core 應(yīng)用程序用戶的兩個常見聲明。不過，角色是否顯示取決于后備標識存儲區(qū)。例如，如果使用社交身份驗證，永遠都不會看到角色。

　　授權(quán)比身份驗證更進一步。身份驗證就是發(fā)現(xiàn)用戶標識，而授權(quán)則是定義用戶調(diào)用應(yīng)用程序終結(jié)點的要求。用戶角色通常存儲在數(shù)據(jù)庫中，并在用戶憑據(jù)經(jīng)過驗證后進行檢索。此時，角色信息以某種方式附加到用戶帳戶。

　　IIdentity 接口的特征之一是，必須實現(xiàn) IsInRole 方法。為此，ClaimsIdentity 類檢查身份驗證進程生成的一系列聲明中是否有角色聲明。總之，當(dāng)用戶嘗試調(diào)用安全的控制器方法時，角色應(yīng)可供檢查。如果不可以，用戶調(diào)用任何安全的方法時則會遭拒。