在构建需要声明的策略时，我们是否需要包含 RequireAuthenticatedUser？

Question

当您像这样在 ASP.NET Core 中创建自定义策略时：

services.AddAuthorization(options =>
    {
        options.AddPolicy("MyCustomPolicy",
            policyBuilder => policyBuilder.RequireClaim("SomeClaim"));
    });

与上面的定义和下面的定义有什么区别：

services.AddAuthorization(options =>
    {
        options.AddPolicy("MyCustomPolicy",
            policyBuilder => policyBuilder.RequireAuthenticatedUser()
                             .RequireClaim("SomeClaim"));
    });

我的意思是，是否有可能在未经身份验证的情况下提出索赔？如果是 - 它是如何工作的？一个证明这种行为会很棒的例子！

编辑：This 是调用RequireClaim 的源代码，here's 是RequireAuthenticatedUser 的源代码。

Answer 1

从关于AuthorizationPolicyBuilder.RequireAuthenticatedUser method的文档中，我们可以找到：

Adds a DenyAnonymousAuthorizationRequirement to the current instance

下面的例子可以帮助你了解它是如何工作的。

添加自定义声明

app.UseAuthentication();

app.Use(async (context, next) =>
{
    //add a claim to this claims identity
    context.User.Identities.FirstOrDefault().AddClaim(new Claim("SomeClaim", "testval"));

    await next.Invoke();
});

app.UseAuthorization();

如果不调用.RequireAuthenticatedUser方法

services.AddAuthorization(options =>
{
    options.AddPolicy("MyCustomPolicy",
        policyBuilder => policyBuilder.RequireClaim("SomeClaim"));

});

我们可以发现匿名用户也可以通过索赔检查并访问资源，如下所示。