如何处理保单中的互斥索赔以执行四眼原则

Question

我正在尝试配置两个策略，它们只能具有两个声明中的一个来强制执行四眼原则：

services.AddAuthorization(options =>
                {
                    options.AddPolicy("CreditApprover", //An approver is not allowed to review.
                        policy => policy.RequireAssertion(ctx =>
                            ctx.User.HasClaim(claim => claim.Value == "CreditLoanApprover") &&
                            !ctx.User.HasClaim(claim => claim.Value == "CreditLoanReviewer")));

                    options.AddPolicy("CreditReviewer", //A reviewer is not allowed to approve.
                        policy => policy.RequireAssertion(ctx =>
                            !ctx.User.HasClaim(claim => claim.Value == "CreditLoanApprover") &&
                            ctx.User.HasClaim(claim => claim.Value == "CreditLoanReviewer")));
                });

我已将Authorize 属性添加到控制器操作中：

[Authorize(Policy = "CreditApprover")]
[HttpPost]
public async Task<ActionResult> Approve()
{
    // ...
}

[Authorize(Policy = "CreditReviewer")]
[HttpPost]
public async Task<ActionResult> Review()
{
    // ...
}

但是，如果我同时向两个不同的用户提供声明，他们仍然可以查看自己的批准。我希望这些用户不能这样做。这应该像这样，还是我需要建立一个自定义的AuthorizationHandler？

Answer 1

按照帖子本身的描述工作。在测试期间配置我的声明时可能遗漏了一些东西。