在WEBAPI项目中使用过滤器做统一权限验证

  最近在使用WEBAPI项目开发接口,主要是用于跟安卓与IOS开发的同事对接。刚开始开发接口的时候,为了省事就没有做权限验证,想着等逻辑都调通以后再回过头来统一加上去。结果等功能开发结束,发现每个接口里面都加上五到十行的权限验证功能就有点坑了,这么多的重复代码怎么给它再简化一下呢?
  在一个技术群里发问之后,有个朋友截了张图,内容是在接口上方声明一个属性,然后在属性里面进行验证。这个是不错的想法,以前我见过用这种方法的,但具体含义不明。正好这次能用上,就自己编写了一个属性。
  基本思路有三步:1、确定在哪里执行验证;2、获取APP传入的参数;3、根据参数进行权限验证;4、如果权限验证不通过就不再执行接口中的功能。
  第1步很容易就实现了,在我敲完“public override”后,界面就提示出了可以重写的方法,一个个的看过注释后,发现OnActionExecuting是接口内容执行前执行的代码,于是确定要在这里面写。
  第2步的难度也不大,程序运行起来之后,把OnActionExecuting参数列表的各项内容打开看了下,结果发现传入参数放在ActionArguments中,于是从中截取出了reqeust参数(即我自定义的传入参数实体名),里面存有APP同事传给我的各项信息。
  第3步就更简单了,就是把参数拿出来跟数据库作下对照。
  第4步有点坑,因为不知道怎么停止执行接口功能。于是先使用了传统的HttpContext.Current.Response.End,结果发现没用。然后去百度了半天接口拦截,一直没看出个所以然来。最后突然灵光一现,如果把请求的返回状态直接声明为完成,会不会拦截成功?于是这样调试了一下,果然奏效。

//属性代码
using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Threading.Tasks;
using System.Web.Http.Filters;
using System.Web;
using System.Net.Http;//该DLL需要手动加入,在系统框架中

    public class ApiAuthAttribute : ActionFilterAttribute
    {
        private static DalUser userData = new DalUser();
        /// <summary>
        /// 权限验证,通过为true,否则为false
        /// </summary>
        /// <param name="request"></param>
        /// <returns></returns>
        private static bool AuthValid(string userId)
        {
            if (string.IsNullOrEmpty(userId))
            {
                return false;
            }
            var objUser = userData.GetUserById(userId);
            if (objUser == null || string.IsNullOrEmpty(objUser.ID))
            {
                return false;
            }
            return true;
        }

        public override void OnActionExecuting(System.Web.Http.Controllers.HttpActionContext actionContext)//执行方法前的操作
        {
            BaseResponseEntity response = new BaseResponseEntity();
            response.Code = (int)ResponseCode.ValidError;
            response.Message = "权限验证失败";
            string result = JsonConvert.SerializeObject(response);

            if (actionContext.ActionArguments == null || actionContext.ActionArguments.Count == 0)//没有传入用户信息
            {
                HttpContext.Current.Response.Write(result);
                actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.OK);//OK为请求结束,拦截其余的执行
            }
            string userId = string.Empty;
            if (actionContext.ActionArguments.ContainsKey("request"))//参数列表中包含request
            {
                BaseRequestEntity request = (BaseRequestEntity)actionContext.ActionArguments["request"];
                if (request == null)
                {
                    HttpContext.Current.Response.Write(result);
                    actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.OK);
                }
                userId = request.userId;
            }

            else

            {

                    HttpContext.Current.Response.Write(result);
                    actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.OK);

            }   
            if (!AuthValid(userId))
            {
                HttpContext.Current.Response.Write(result);
                actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.OK);
            }
        }

使用拦截时的代码:
[ApiAuthAttribute]
public string GetResult(BaseRequest request)
{

}

随后在群里问了一下,有朋友说这是AOP的实现方法,管他什么P呢,好用就行了。

  • 0
    点赞
  • 5
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
MVC WebApi 用户权限验证及授权DEMO 前言:Web 用户的身份验证,及页面操作权限验证是B/S系统的基础功能,一个功能复杂的业务应用系统,通过角色授权来控制用户访问,本文通过Form认证,Mvc的Controller基类及Action的权限验证来实现Web系统登录,Mvc前端权限校验以及WebApi服务端的访问校验功能。 1 Web Form认证介绍 Web应用的访问方式因为是基于浏览器的Http地址请求,所以需要验证用户身份的合法性。目前常见的方式是Form认证,其处理逻辑描述如下: 1) 用户首先要在登录页面输入用户名和密码,然后登录系统,获取合法身份的票据,再执行后续业务处理操作; 2) 用户在没有登录的情况下提交Http页面访问请求,如果该页面不允许匿名访问,则直接跳转到登录页面; 3) 对于允许匿名访问的页面请求,系统不权限验证,直接处理业务数据,并返回给前端; 4) 对于不同权限要求的页面Action操作,系统需要校验用户角色,计算权限列表,如果请求操作在权限列表,则正常访问,如果不在权限列表,则提示“未授权的访问操作”到异常处理页面。 2 WebApi 服务端Basic 方式验证 WebApi服务端接收访问请求,需要安全验证处理,验证处理步骤如下: 1) 如果是合法的Http请求,在Http请求头会有用户身份的票据信息,服务端会读取票据信息,并校验票据信息是否完整有效,如果满足校验要求,则进行业务数据的处理,并返回给请求发起方; 2) 如果没有票据信息,或者票据信息不是合法的,则返回“未授权的访问”异常消息给前端,由前端处理此异常。 3 登录及权限验证流程 1) 用户打开浏览器,并在地址栏输入页面请求地址,提交; 2) 浏览器解析Http请求,发送到Web服务器;Web服务器验证用户请求,首先判断是否有登录的票据信息; 3) 用户没有登录票据信息,则跳转到登录页面; 4) 用户输入用户名和密码信息; 5) 浏览器提交登录表单数据给Web服务器; 6) Web服务需要验证用户名和密码是否匹配,发送api请求给api服务器; 7) api用户账户服务根据用户名,读取存储在数据库的用户资料,判断密码是否匹配; 7.1)如果用户名和密码不匹配,则提示密码错误等信息,然该用户重新填写登录资料; 7.2)如果验证通过,则保存用户票据信息; 8) 接第3步,如果用户有登录票据信息,则跳转到用户请求的页面; 9) 验证用户对当前要操作的页面或页面元素是否有权限操作,首先需要发起api服务请求,获取用户的权限数据; 10). api用户权限服务根据用户名,查找该用户的角色信息,并计算用户权限列表,封装为Json数据并返回; 11). 当用户有权限操作页面或页面元素时,跳转到页面,并由页面Controller提交业务数据处理请求到api服务器; 如果用户没有权限访问该页面或页面元素时,则显示“未授权的访问操作”,跳转到系统异常处理页面。 12). api业务服务处理业务逻辑,并将结果以Json 数据返回; 13). 返回渲染后的页面给浏览器前端,并呈现业务数据到页面; 14). 用户填写业务数据,或者查找业务数据; 15). 当填写或查找完业务数据后,用户提交表单数据; 16). 浏览器脚本提交get,post等请求给web服务器,由web服务器再次解析请求操作,重复步骤2的后续流程; 17). 当api服务器验证用户身份是,没有可信用户票据,系统提示“未授权的访问操作”,跳转到系统异常处理页面。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

冬瓜就是我

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值