ASP.NET MVC学习系列——MVC过滤器FilterAttribute

最新推荐文章于 2024-04-16 14:37:21 发布

weixin_30618985

最新推荐文章于 2024-04-16 14:37:21 发布

阅读量399

点赞数

原文链接：http://www.cnblogs.com/qtiger/p/9640865.html

版权

本文介绍了ASP.NET MVC中的四种过滤器：AuthorizationFilter、ActionFilter、ResultFilter和ExceptionFilter，详细讲解了AuthorizeFilter的授权逻辑及自定义授权过滤器。此外，还阐述了ActionFilter和ResultFilter的使用场景，包括Action执行时间记录和OutputCache的缓存控制。通过实例展示了过滤器的实现和应用。

摘要由CSDN通过智能技术生成

1、概括

　　MVC提供的几种过滤器其实也是一种特性（Attribute），MVC支持的过滤器类型有四种，分别是：AuthorizationFilter(授权),ActionFilter（行为）,ResultFilter（结果）和ExceptionFilter（异常），他们分别对应了四个筛选器接口IAuthorizationFilter、IActionFilter、IResultFilter和IExceptionFilter。这四种筛选器都有派生于一个公共的类FilterAttribute，该类指定了筛选器的执行顺序Order和是否允许多个应用AllowedMultiple。这四种筛选器默认的执行顺序为最先进行授权筛选，最后进行异常处理，中间则是ActionFilter和ResultedFilter。官网对FilterAttribute层次结构的介绍图如下

2、MVC四大过滤器介绍

　　2.1、AuthorizeFilter筛选器

　　AuthorizeAttribute为最终授权过滤器的实现者，它实现了IAuthorizationFilter接口和FilterAttribute抽象类，接口中的OnAuthorization(AuthorizationContext filterContext)方法是最终验证授权的逻辑（其中AuthorizationContext是继承了ControllerContext类），AuthorizeCore方法是最终OnAuthorization()方法调用的最终逻辑。

bool AuthorizeCore(HttpContextBase httpContext)：授权验证的逻辑处理，返回true则是通过授权，返回false则不是。若验证不通过时，OnAuthorization方法内部会调用HandleUnauthorizedRequest
void HandleUnauthorizedRequest(AuthorizationContext filterContext)：这个方法是处理授权失败的事情。

AuthorizeCore代码如下：

protected virtual bool AuthorizeCore(HttpContextBase httpContext)
        {
            if (httpContext == null)
            {
                throw new ArgumentNullException("httpContext");
            }
 
            IPrincipal user = httpContext.User;
            if (!user.Identity.IsAuthenticated)
            {
                return false;
            }
 
            if (_usersSplit.Length > 0 && !_usersSplit.Contains(user.Identity.Name, StringComparer.OrdinalIgnoreCase))
            {
                return false;
            }
 
            if (_rolesSplit.Length > 0 && !_rolesSplit.Any(user.IsInRole))
            {
                return false;
            }
 
            return true;
        }

我们不一定要用MVC默认的Authorize授权验证规则，规则可以自己来定，自定义授权过滤器继承IAuthorizeAttribute和FilterAttribute，由于OnAthurization()、AuthorizeCore()和HandleUnauthorizedRequest()方法都是虚方法，这些方法是可以重写的，这样就可以自定义自己的验证规则和验证失败时的处理逻辑了。示例代码如下