Проверка одной из нескольких политик с атрибутом авторизации в ASP.NET Core Identity

Вы можете добавить условие ИЛИ в Startup.cs:

services.AddAuthorization(options => {
    options.AddPolicy("EditCustomer", policy =>
        policy.RequireAssertion(context => 
        context.User.HasClaim(c => (c.Type == "DeleteCustomer" || c.Type == "Superuser"))));
});

Я столкнулся с аналогичной проблемой, когда я хотел, чтобы только пользователи «Джон Доу», «Джейн Доу» могли просматривать экран «Завершение контрактов» ИЛИ кто-либо только из отдела «MIS» также имел доступ к тому же экрану. Для меня сработало следующее, где у меня есть типы претензий «отдел» и «имя пользователя»:

services.AddAuthorization(options => {
    options.AddPolicy("EndingContracts", policy =>
        policy.RequireAssertion(context => context.User.HasClaim(c => (c.Type == "department" && c.Value == "MIS" ||
        c.Type == "UserName" && "John Doe, Jane Doe".Contains(c.Value)))));
});

Вы можете использовать два разных обработчика AuthorizationHandler с одинаковым требованием IAuthorizationRequirement:

public class FooOrBooRequirement : IAuthorizationRequirement { }

public class FooHandler : AuthorizationHandler<FooOrBooRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationContext context, FooOrBooRequirement requirement)
    {
        if (context.User.HasClaim(c => c.Type == "Foo" && c.Value == true))
        {
            context.Succeed(requirement);
            return Task.FromResult(0);
        }
    }
}

public class BooHandler : AuthorizationHandler<FooOrBooRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationContext context, FooOrBooRequirement requirement)
    {
        if (context.User.HasClaim(c => c.Type == "Boo" && c.Value == true))
        {
            context.Succeed(requirement);
            return Task.FromResult(0);
        }
    }
}

Таким образом, в AddPolicy у вас будет только одно требование, которое может быть выполнено FooHandler или BooHandler:

services.AddAuthorization(authorizationOptions =>
{
    authorizationOptions.AddPolicy(
        "MustBeFooOrBoo",
        policyBuilder =>
        {
            policyBuilder.RequireAuthenticatedUser();
            policyBuilder.AddRequirements(new FooOrBooRequirement());
        });
});

Обратите внимание, что AuthorizationHandler предоставляет более мощную настраиваемую политику, поэтому она наиболее актуальна только для особых случаев, требующих более сложной аутентификации, например, если вы хотите определить, является ли пользователь владельцем ресурса.

Для простой политики, основанной на утверждениях, я бы посоветовал использовать ответ @ richard-mneyan.

Мы можем внедрить DBContext (если используется EF или пользовательский репозиторий, если нет) или HttpContextAccessor в AuthorizationHandler, чтобы добиться этого.

Внедряя EF Context (или пользовательский репозиторий), мы можем запросить базу данных, чтобы выяснить, является ли текущий пользователь суперпользователем.

Или, введя HttpContextAccessor, мы можем определить, является ли пользователь суперпользователем. Этот подход работает быстрее, чем первый, но зависит от того, имеет ли пользовательский контекст необходимую информацию или нет.

Для этого, если у вас есть EditCustomerRequirement и EditCustomerAuthorizationHandler:

public class EditCustomerAuthorizationHandler: AuthorizationHandler<EditCustomerRequirement>
{
     readonly AppDbContext _context;
     readonly IHttpContextAccessor _contextAccessor;

     public EditCustomerAuthorizationHandler(DbContext c, IHttpContextAccessor ca)
     {
         _context = c;
         _contextAccessor = ca;
     }

     protected override async Task HandleRequirementAsync(AuthorizationHandlerContext context, EditCustomerRequirement requirement)
     {
         //here we have the access to DB and HttpContext
         //we can get the information if the user is superuser from either db or httpContext 
         var isSuperUser = await IsSuperUser(_context);
         //or
         var isSuperUser = IsSuperUser(_contextAccessor);
         if(isSuperUser) 
         {
             context.Succeed(requirement);
         }
         else
         {
            //the current implementation of EditCustomer Policy
         }
     }
}

IsSuperUser - это своего рода метод, который мы могли бы создать для получения информации из контекста базы данных или контекста http.