feat(aspnetcore): add group-role mapping extension for authorization policies

[vaernion]

Example usage:

            services.AddGroupRoleMappings(
                new Dictionary<string, IEnumerable<string>>()
                {
                    {
                        MasseutsendelseAuthorization.ReaderPolicy,
                        // senders also have read access
                        [.. senderGroupIds, .. readerGroupIds]
                    },
                    { MasseutsendelseAuthorization.SenderPolicy, senderGroupIds },
                }
            );

NB: Client credential tokens (m2m) are not handled yet. We can add a path for checking for role access_as_application, but what should the API be?

    public static void AddGroupRoleMappings(
        this IServiceCollection services,
        IReadOnlyDictionary<string, IEnumerable<string>> roleGroupMappings,
        string m2mAppRole, // "access_as_application",
        string groupClaimType = "groups",
        string rolesClaimType = "roles"
    )

[Copilot]

Pull request overview

This PR introduces a new authorization extension method AddGroupRoleMappings that enables mapping group IDs from JWT claims to authorization policies, allowing role-based authorization when only group claims are available in tokens.

Changes:

• Added AddGroupRoleMappings extension method to configure authorization policies based on group-to-role mappings
• Implemented comprehensive test coverage for various authorization scenarios
• Updated package version to 2.3.0-alpha.1 and documented the new feature in CHANGELOG

Reviewed changes

Copilot reviewed 4 out of 4 changed files in this pull request and generated 2 comments.

File	Description
AuthorizationExtensions.cs	Implements the core extension method for group-role mapping with case-insensitive group ID comparison
AuthorizationExtensionsTests.cs	Provides comprehensive test coverage for authentication, group membership, and custom claim type scenarios
CHANGELOG.md	Documents the new HasAnyAllowedGroup extension method in version 2.3.0
AT.Common.AspNetCore.Publish.csproj	Updates package version to 2.3.0-alpha.1 for the new feature release

---

💡 Add Copilot custom instructions for smarter, more guided reviews. Learn how to get started.

[at-bgp]

Jeg tror denne kan skjule/skape usynlige feil.

Hvis det er to groups "reader" og "Reader", så blir bare den første brukt (siden de er equal under string compare med StringComparer.OrdinalIgnoreCase)

jeg ville heller latt det være case sensitive.

Hva enn vi velger så må vi sørge for at det passer i HasAnyAllowedGroup()

[vaernion]

Det er fordi gruppene her ikke er navn som "Reader", men objekt-ids i Entra. De er GUID's som ikke er case sensitive.

F.eks. 52d10c33-1ee7-4215-b433-f719b42d00f4 eller 52D10C33-1EE7-4215-b433-f719b42d00f4 fungerer likt ved kall til Entra API (testet med client credential request).

[vaernion]

Vi kan fjerne det uansett for å forenkle koden da. HashSet er neppe nødvendig også siden det er snakk om korte lister med grupper, men Copilot maste om det.

[at-bgp]

Aha, da foreslår jeg at vi fjerner HasSet og legger på StringComparer.OrdinalIgnoreCase på det .Contains-kallet i HasAnyAllowedGroup()

[mkilgus-at]

Ide:
Kan vi utvide den her PR med å eksponere en egen authorization extension i tillegg?
Da kunne vi flytte AuthenticationConfiguration også hit, og kanskje rename/forbedre hele config objektet.
Målet er å flytte det her:

Slik at vi får noko ala

services.AddEntraAuthentication(config);
services.AddEntraGroupRoleMappings(config);

[sonarqubecloud]

Quality Gate passed

Issues
1 New issue
0 Accepted issues

Measures
0 Security Hotspots
0.0% Coverage on New Code
0.0% Duplication on New Code

See analysis details on SonarQube Cloud

[mkilgus-at]

@vaernion ka er status her? har du lyst til å fortsette på den? Ble åpenbart merge konflikter etter @at-bgp sine endringer i v2.5.0, antar at vi kunne godt ta en gjennomgang hvis du trenger hjelp