การอนุญาตตามข้ออ้างสิทธิ์

นอกเหนือจากบทบาท

// Claims a user might carry:
// department = sales
// subscription = pro
// email_verified = true

การเพิ่ม claims ลงในโทเค็น

var claims = new List<Claim>
{
    new Claim(ClaimTypes.NameIdentifier, user.Id.ToString()),
    new Claim("department", "sales"),
    new Claim("subscription", "pro"),
    new Claim("email_verified", "true")
};

การกำหนดนโยบาย claims

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("VerifiedEmail", policy =>
        policy.RequireClaim("email_verified", "true"));
});

RequireClaim โดยไม่ระบุค่า

options.AddPolicy("HasDepartment", policy =>
    policy.RequireClaim("department"));

RequireClaim พร้อมค่าที่อนุญาต

options.AddPolicy("PaidTier", policy =>
    policy.RequireClaim("subscription", "pro", "enterprise"));

การใช้นโยบาย claims

[Authorize(Policy = "PaidTier")]
[HttpGet("premium-reports")]
public IActionResult Reports() => Ok();

การใช้งานกับ API แบบย่อ

app.MapGet("/premium-reports", () => Results.Ok())
   .RequireAuthorization("PaidTier");

การรวมข้อกำหนดของ claims หลายรายการ

options.AddPolicy("VerifiedSales", policy =>
    policy
        .RequireClaim("email_verified", "true")
        .RequireClaim("department", "sales"));

RequireAssertion สำหรับตรรกะแบบกำหนดเอง

options.AddPolicy("AdultUser", policy =>
    policy.RequireAssertion(ctx =>
    {
        var dob = ctx.User.FindFirst("birthdate")?.Value;
        return DateTime.TryParse(dob, out var d) &&
               d <= DateTime.UtcNow.AddYears(-18);
    }));

การอ่าน claims ขณะทำงาน

var dept = User.FindFirst("department")?.Value;
var isPro = User.HasClaim("subscription", "pro");

claims กับบทบาท — ควรใช้สิ่งใดเมื่อใด

options.AddPolicy("SalesManager", policy =>
    policy.RequireRole("manager")
          .RequireClaim("department", "sales"));

ตรวจสอบความเข้าใจ

สรุปทบทวน