为什么 RunWithElevatedPrivileges 执行失败？

Question

我正在尝试制作一个 Web 部件，用于 grep 用户评论并将其存储在自定义列表中，我编写了此代码，以便在将 Web 部件添加到页面后将列表添加到网站，

[Guid("c314a0e8-0210-4064-b79e-bfd3594c6083")]
public class CommentWriteSpace : System.Web.UI.WebControls.WebParts.WebPart
{
    SPSite site = null;
    SPWeb web = null;

    public CommentWriteSpace()
    {
        SPSecurity.CodeToRunElevated foo = new SPSecurity.CodeToRunElevated(doit);

        SPSecurity.RunWithElevatedPrivileges(foo);
        SPListCollection listCollection = web.Lists;

        Guid listGuid = listCollection.Add("Comments List", "A list of user comments", SPListTemplateType.GenericList);
        listCollection[listGuid].Fields.Add("User", SPFieldType.User, true);
        listCollection[listGuid].Fields.Add("Comment", SPFieldType.Text, true);
        listCollection[listGuid].OnQuickLaunch = true;
        listCollection[listGuid].Update();
        //this.Page.Request.Url.ToString()
    }

    public void doit()
    {
        site = SPContext.Current.Site;
        web = site.OpenWeb();
    }
}

但是 RunWithElevatedPrivileges方法抛出异常，我猜这是一个权限问题，该异常与在不提升权限的情况下执行 site.OpenWeb(); 方法时出现的异常相同。

可能是什么问题呢？

Answer 1

您看到了许多问题：

1. SPSite 对象权限是在创建时确定的，因此 SPContext.Current.Site 将已经拥有当前用户的权限，即使您可以在 RWEP 中获得参考。
2. 从 RWEP 块中传递 SP 对象是不受支持的，而且通常很危险。 如果您确实需要使用 RWEP，则应使用在该上下文中创建的所有 SPSite 和 SPWeb 对象（及其子对象）并在 CodeToRunElevated 中进行处置>。
3. 每次调用 listCollection[listGuid] 都会创建一个新的 SPList 对象，这可能会导致意外行为。

正如 Dan 所建议的，RWEP 并不是实现您想要完成的任务的首选方法。 使用他引用的 链接 中的扩展，我将重写为看起来像这样：

[Guid("c314a0e8-0210-4064-b79e-bfd3594c6083")]
public class CommentWriteSpace : System.Web.UI.WebControls.WebParts.WebPart
{
    public CommentWriteSpace()
    {
        SPContext.Current.Site.RunAsSystem(UpdateSite);
        //this.Page.Request.Url.ToString()
    }

    public void UpdateSite(SPSite site)
    {
        SPWeb web = site.RootWeb;

        SPListCollection listCollection = web.Lists;
        Guid listGuid = listCollection.Add("Comments List", "A list of user comments", SPListTemplateType.GenericList);
        SPList list = listCollection[listGuid];

        list.Fields.Add("User", SPFieldType.User, true);
        list.Fields.Add("Comment", SPFieldType.Text, true);
        list.OnQuickLaunch = true;
        list.Update();
    }
}

Answer 2

您无需以提升的权限运行 SPContext.Current.Site。 事实上，我认为这就是你得到例外的原因。 此外，您还可以使用 SPContext.Current.Web 而不是 site.OpenWeb()。 后者创建一个新的 SPWeb 对象，您将负责再次处理该对象。 HTTP 请求完成后，SPContext 中的 SPSite 和 SPWeb 对象将自动释放。

Answer 3

我建议在与 SharePoint 对象交互时避免使用 RunWithElevatedPrivileges（只要可能，就像在您的示例中一样）。 您应该将其使用限制在需要访问 SharePoint 外部的资源（例如数据库、文件共享等）时。

这是一篇优秀的文章，它提供了一种非常优雅的方法来在 SharePoint 上下文中获取提升的权限：
http://solutionizing.net/2009/01/06/elegant-spsite -海拔/

Answer 4

唔。 在匿名委托中运行大部分代码可能会更容易吗？

SPSecurity.RunWithElevatedPrivileges(delegate()
{
  // Your code here
}

创建 SPList 对象可能比重复访问集合更好。 有些集合的行为有点奇怪 - 我认为 SPViewCollection 在每次通过 guid/index 访问它时都会创建一个新对象！

所有这些问题，我同意 Lars 的观​​点 - 使用 SPContext.Current.Web