public class FilterCollection : Collection<IFilterMetadata>
public IFilterMetadata Add<TFilterType>() where TFilterType : IFilterMetadata
return Add(typeof(TFilterType));
代码中提供了Add方法，约束了IFilterMetadata类型的对象，这也是上面的过滤器中为什么都继承了IFilterMetadata的原因。
到这里代码解读和实现原理已经分析完了，如果有分析不到位之处还请多多指教！！！
结论：授权中间件通过获取IAuthorizeData来获取AuthorizeAttribute对象相关的授权信息，并构造授权策略对象进行授权认证的，而AuthorizeFilter过滤器也会默认添加AuthorizeAttribute的授权相关数据IAuthorizeData并实现OnAuthorizationAsync方法，同时中间件中通过授权策略提供者IAuthorizationPolicyProvider来获得对于的授权策略进行授权认证.
原文链接：https://blog.csdn.net/qq_41872328/article/details/122842873
IdentityServer4已经分享了一些应用实战的文章，从架构到授权中心的落地应用，也伴随着对IdentityServer4掌握了一些使用规则，但是很多原理性东西还是一知半解，故我这里持续性来带大家一起来解读它的相关源代码，本文先来看看为什么Controller或者Action中添加Authorize或者全局中添加AuthorizeFilter过滤器就可以实现该资源受到保护，需要通过access_token才能通过相关的授权呢？
ASP.NET Core MVC 2.1、3.1和5.0中基于角色的动态授权
您已经知道ASP.NET Core中基于角色的授权是如何工作的。
[ Authorize ( Roles = " Administrator " )]
public class AdministrationController : Controller
但是，如果您不希望在Authorize属性上使用硬编码角色或以后再创建角色，并指定在不接触源代码的情况下可以访问哪个控制器和动作，该怎么办？
DynamicAuthorization可帮助您以最小的努力为没有授权角色的用户授予Authorize属性的Authorize 。 DynamicAuthorization建立在ASP.NET Core身份的顶部，并使用身份机制来管理角色和授权用户。
安装DynamicAuthorization.Mvc.C
Asp.Net Core中虽然集成了许多常用的身份认证，但很多时候，我们还是需要实现自己的身份认证接口，本文这里就简单的介绍下如何实现自定义身份认证接口。
首先写一个简单的接口。
[Authorize]
[HttpGet]
public object Foo()
return DateTime.Now.ToString();
由于有Authorize标记，访问函数体前会判断用户是否通过认证，由于这里没有通过认证，会的得到一个500错误。
自定义认证处理类：
实现一个IAuthenticationHandler接口即可：
public class MyAuthHandler :
string Policy { get; set; }
string Roles { get; set; }
string AuthenticationSchemes { get; set; }
接口中定义的三个属性分别代表了三种授权类型：
1、基于角色的授权：
[Authorize(Roles = "Admin")] // 多个Role可以使用,分割
public class SampleDataController : Controller
企业微信的用户，用户名为企业微信的userid
每类用户中部分人员具有“Admin”角色
因为企业微信的用户有可能同时是微信公众号用户，即一个人两个名，所以需要多用户验证和授权。咱用代码说话最简洁，如下所示：
public class DemoController : Controller
/// <summary>
/// 企业微信用户使用的模块
在本章中，我们将讨论
Authorize特性。 到目前为止，在我们的应用程序中，我们允许匿名用户做任何事情。 他们可以编辑员工详细信息，查看详细信息，但我们没有创建新员工的功能。 让我们先添加创建功能，然后我们将使用
Authorize属性限制用户访问。
我们需要首先在Views→Home文件夹中创建一个新的MVC View页面，并调用Create.cshtml然后添加以下代码。
使用Authorize特性进行身份验证
通常情况下，应用程序都是要求用户登录系统之后才能访问某些特定的部分。在ASP.NET MVC中，可以通过使用Authorize特性来实现，甚至可以对整个应用程序全局使用Authorize特性。
Authorize的用法
本节以一个添加产品的示例来说明Authorize的使用方法。首先，创建Product类、添加属性（如下所示）并创建ProductsC...
对于需要认证的控制器我们需要添加上[Authroize]特性，对每一个控制器我们都得添加这样一个特性，相信大部分童鞋都是这么干的。其实我们大可反向操作，对于无需认证的我们添加可匿名访问特性即可，而需要认证的控制器我们进行全局配置认证过滤器，如下：
startup.cs
public IServiceProvider ConfigureServices(IServiceCol...
上一章的结尾留下了一个问题：同样是ObjectResult，在执行的时候又是如何被转换成string和JSON两种格式的呢？
本章来解答这个问题，这里涉及到一个名词：“内容协商”。除了这个，本章将通过两个例子来介绍如何自定义IActionResult和格式化类。(ASP.NET Core 系列目录)
一、内容协商
依然以返回Book类型的Action为例，看看它是怎么被转换为JSO...
这来自于我把项目迁移到
Asp.Net Core的过程中碰到一个问题。在一个web程序中同时包含了MVC和WebAPI，现在需要给WebAPI部分单独添加一个接口验证过滤器IActionFilter，常规做法一般是写好过滤器后给需要的控制器挂上这个标签，高级点的做法是注册一个全局过滤器，这样可以避免每次手动添加同时代码也更好管理。注册全局过滤器的方式为：
services.AddMvc(options =>
options.Filters.Add(typeof(.
ASP.NET MVC使用Authorize过滤器验证用户登录。Authorize过滤器首先运行在任何其它过滤器或动作方法之前，主要用来做登录验证或者权限验证。
示例：使用Authorize过滤器实现简单的用户登录验证。
1、创建登录控制器LoginController
/// <summary>
/// 登录控制器
/// </summary>
[AllowAno...
我们通过定义授权策略，查看源码发现，在对授权配置之后，授权系统通过DI的方式注册了几个核心的默认实现。添加授权策略服务使用方法，以便调用。从源码可以发现，从core3.0后，由之前在core2.0中的文件中，原来的的方法变为了方法，微软在这一块进行了封装在文件中，沿用了之前拓展名称，不影响之前版本的使用。
由上可知，在调用方法进行授权配置的时候，需要使用到委托方式传参。所以我们再来看看下面这一行代码，通过实现添加策略方式。
通过上图可以把Policy(策略)加入到了AuthorizationOptions
ASP.NET Core JWT (JSON Web Token) 是一种用于在不同系统之间安全地传输信息的开放标准。它可以在不同的应用程序中传递身份验证和授权信息，以确保安全性。
在 ASP.NET Core 中，你可以使用 Microsoft.AspNetCore.Authentication.JwtBearer 包来实现 JWT 鉴权。首先要生成 JWT Token，可以使用 JwtSecurityTokenHandler 类生成，然后将其返回给客户端。在客户端发起请求时，可以将 Token 作为 Authorization 头的 Bearer 方式发送过来。服务端可以使用 AddJwtBearer 方法添加 JWT 鉴权，然后使用 [Authorize] 特性进行身份验证。
需要注意的是，JWT 只能加密信息，但是不能确保信息的完整性，因此在使用 JWT 时需要小心。可以通过添加数字签名来确保信息的完整性。
