在C# Web API中實現權限控制通常涉及以下幾個步驟：

1. 用戶認證 (Authentication): 這是確定用戶身份的過程。常見的認證方式有基本認證 (Basic Authentication)、令牌認證 (Token-based Authentication, 如OAuth2、JWT) 等。

2. 用戶授權 (Authorization): 在用戶被認證之后，需要確定他們有權限訪問哪些資源或執行哪些操作。這通常通過角色或權限來實現。

下面是一個簡單的示例，展示如何在C# Web API中使用ASP.NET Core Identity系統進行權限控制：

1. 安裝必要的包

首先，確保你的項目中安裝了以下NuGet包：

dotnet add package Microsoft.AspNetCore.Identity.EntityFrameworkCore
dotnet add package Microsoft.AspNetCore.Mvc
dotnet add package Microsoft.EntityFrameworkCore

2. 配置身份系統

在你的Startup.cs文件中配置ASP.NET Core Identity：

public void ConfigureServices(IServiceCollection services)
{
    services.AddDbContext<ApplicationDbContext>(options =>
        options.UseSqlServer(Configuration.GetConnectionString("DefaultConnection")));

    services.AddIdentity<ApplicationUser, IdentityRole>()
        .AddEntityFrameworkStores<ApplicationDbContext>()
        .AddDefaultTokenProviders();

    services.AddControllers();
}

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }

    app.UseRouting();

    app.UseAuthentication();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

3. 創建用戶和角色

在你的ApplicationDbContext中定義用戶和角色實體：

public class ApplicationUser : IdentityUser
{
    // 你可以在這里添加額外的屬性
}

public class ApplicationRole : IdentityRole
{
    // 你可以在這里添加額外的屬性
}

4. 實現權限控制

在你的控制器中，你可以使用[Authorize]屬性來限制訪問：

[ApiController]
[Route("api/[controller]")]
public class UsersController : ControllerBase
{
    private readonly UserManager<ApplicationUser> _userManager;

    public UsersController(UserManager<ApplicationUser> userManager)
    {
        _userManager = userManager;
    }

    [HttpGet]
    [Authorize(Roles = "Admin")]
    public async Task<ActionResult<IEnumerable<ApplicationUser>>> GetUsers()
    {
        var users = await _userManager.Users.ToListAsync();
        return Ok(users);
    }
}

在這個例子中，只有具有"Admin"角色的用戶才能訪問GetUsers方法。

5. 使用JWT進行令牌認證

如果你選擇使用JWT進行令牌認證，你需要在用戶登錄時生成一個JWT令牌，并在后續請求中將其包含在請求頭中：

[HttpPost("login")]
public async Task<IActionResult> Login([FromBody] LoginViewModel model)
{
    var user = await _userManager.FindByNameAsync(model.Username);
    if (user == null || !await _userManager.CheckPasswordAsync(user, model.Password))
    {
        return Unauthorized();
    }

    var claims = new[]
    {
        new Claim(ClaimTypes.Name, user.Username),
        new Claim(ClaimTypes.Role, "Admin") // 假設管理員角色為"Admin"
    };

    var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your_secret_key"));
    var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

    var token = new JwtSecurityToken(
        issuer: "your_issuer",
        audience: "your_audience",
        claims: claims,
        expires: DateTime.Now.AddMinutes(30),
        signingCredentials: creds);

    return Ok(new
    {
        token = new JwtSecurityTokenHandler().WriteToken(token)
    });
}

然后，客戶端在后續請求中將JWT令牌包含在Authorization頭中：

GET /api/users HTTP/1.1
Host: example.com
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

總結

以上是一個簡單的示例，展示了如何在C# Web API中使用ASP.NET Core Identity系統進行權限控制。實際應用中，你可能需要根據具體需求進行更復雜的配置和擴展。