MVC特性认证 AuthorizeAttribute 类

最新推荐文章于 2022-03-31 09:33:51 发布

烈火蜓蜻

最新推荐文章于 2022-03-31 09:33:51 发布

阅读量1.6w

点赞数 3

分类专栏： MVC 认证文章标签： mvc asp.net authentication class module string

认证同时被 2 个专栏收录

1 篇文章 0 订阅

订阅专栏

MVC

0 篇文章 0 订阅

订阅专栏

许多 Web 应用程序要求在用户登录之后才授予其对受限制内容的访问权限。在某些应用程序中，即使是登录的用户，也会限制他们可以查看的内容或可以编辑的字段。

要限制对 ASP.NET MVC 视图的访问，您可以限制对呈现视图的操作方法的访问。为此，MVC 框架提供 AuthorizeAttribute 类。

有关使用特性的更多信息，请参见利用特性扩展元数据。

本主题包含以下各节：

使用 AuthorizeAttribute

派生自 AuthorizeAttribute

使用 AuthorizeAttribute

当您使用 AuthorizeAttribute 标记一个操作方法时，则限制只有经过身份验证和授权的用户才能访问该操作方法。如果您使用该特性标记控制器，则限制控制器中的所有操作方法。

Authorize 特性允许您指明将授权限制给预定义角色或各个用户。这使您可以高度控制谁有权查看网站上的任何页面。

如果未经授权的用户尝试访问用 Authorize 特性标记的方法，则 MVC 框架会返回 401 HTTP 状态代码。如果站点配置为使用 ASP.NET Forms 身份验证，401 状态代码会导致浏览器将用户重定向到登录页。

派生自 AuthorizeAttribute

如果从 AuthorizeAttribute 类派生，则派生的类型必须为线程安全的类型。因此，不要在类型本身的实例中存储状态（例如在实例字段中），除非该状态要应用于所有请求。而是将每个请求的状态存储在 Items 属性中，可通过传递到AuthorizeAttribute 的上下文对象访问该属性。

[HandleError]
 public class HomeController : Controller
 {
     public ActionResult Index()
     {
         ViewData["Message"] = "Welcome to ASP.NET MVC!";

         return View();
     }

     public ActionResult About()
     {
         return View();
     }

     [Authorize]
     public ActionResult AuthenticatedUsers()
     {
         return View();
     }

     [Authorize(Roles = "Admin, Super User")]
     public ActionResult AdministratorsOnly()
     {
         return View();
     }

     [Authorize(Users = "Betty, Johnny")]
     public ActionResult SpecificUserOnly()
     {
         return View();
     }
 }

自定义AuthorizeAttribute

网站的权限判断是一个非常普遍的需求，从文章ASP.NET MVC的Action Filter中我们知道实现这样的需求只要从AuthorizeAttribute集成，重写相关的判断逻辑就可以了。这里记录一下：

namespace TokenAcl.Web.Helper 
{ 
public class TokenAclAuthorizeAttribute : AuthorizeAttribute 
{ 
protected override bool AuthorizeCore(HttpContextBase httpContext) 
{ 
bool result = false; 
if (httpContext == null) 
{ 
throw new ArgumentNullException("httpContext"); 
} 
string[] users = Users.Split(','); 
string[] roles = Roles.Split(','); 
if (!httpContext.User.Identity.IsAuthenticated) 
return false; 
if (roles.Length != 0) 
{ 
List<Role> rightRoles = RightClient.GetAllRole(TakenAclMenu.SystemID, TakenAclMenu.UserID); 
foreach (var role in roles) 
{ 
if (rightRoles.Where(x => x.Code == role).Count() > 0) 
{ 
result = true; 
break; 
} 
} 
} 
if (!result) 
{ 
httpContext.Response.StatusCode = 403; 
} 
return result; 
}
public override void OnAuthorization(AuthorizationContext filterContext) 
{ 
base.OnAuthorization(filterContext); 
if (filterContext.HttpContext.Response.StatusCode == 403) 
{ 
filterContext.Result = new RedirectResult("/Admin/Dashboard"); 
} 
} 
} 
}

从AuthorizeAttribute继承过来实现了一个类TokenAclAuthorizeAttribute ，重写了方法AuthorizeCore，使用自己开发的权限系统进行权限的验证，如果没有通过认证，这表示没有权限访问，设置 HTTP 状态代码为403。这样还是不行，还得重写另一个方法OnAuthorization。AuthorizeCore方法返回false，MVC 此时将返回的ActionResult是HttpUnauthorizedResult：

public class HttpUnauthorizedResult : ActionResult { 
public override void ExecuteResult(ControllerContext context) { 
if (context == null) { 
throw new ArgumentNullException("context"); 
} 
// 401 is the HTTP status code for unauthorized access - setting this 
// will cause the active authentication module to execute its default 
// unauthorized handler 
context.HttpContext.Response.StatusCode = 401; 
} 
}

从HttpUnauthorizedResult的源码可以看出，HttpUnauthorizedResult的执行很简单，就是设置当前的HttpContext.Response的状态码为401，这样就回激活authentication module 执行它默认的 unauthorized handler，也就是跳转到登陆页面的，这似乎也不符合逻辑，认证和授权应该是验证的两个方面。这不符合要求，用户已经登陆成功了，只是没有权限而已。我这里只是重写OnAuthorization方法，重定向到一个页面而已，也可以写一个ActionResult。