Авторизация в ASP.NET Core

Policy выражает требование и может учитывать несколько claims, окружение и собственный handler. Роль остаётся одним из входов, а не размазанной строкой по контроллерам. Модель вынесет правило в одно место, где его легче тестировать и менять без риска забыть соседний endpoint.

Когда решение зависит от загруженного объекта: владельца документа, отдела заявки или текущего статуса. До чтения ресурса обычный атрибут этого не знает. Модель построит порядок: проверить общий доступ, безопасно загрузить запись, затем вызвать handler и вернуть одинаковый отказ без раскрытия существования чужих данных.

401 означает, что личность не установлена или схема аутентификации не приняла credentials; 403 — пользователь известен, но правило отказало. Модель проследит middleware и выбранную схему. Подменять коды ради фронтенда не стоит: правильное различие помогает понять, обновлять сессию или показывать запрет.