ASP.NET 安全角色和权限

Question

我对 ASP.NET 安全模型很满意，可以根据用户所处的角色允许/拒绝 web.config 中的用户访问，例如，

<system.web>
  <authorization>
    <allow roles = "Admin" />
  </authorization>
</system.web>

但是我想要做的是为管理员用户提供一组权限，这些权限可以然后进行检查，例如具有“可以打印文档”、“可以删除文档”等权限的管理员用户

这种事情是否可以开箱即用，或者我是否需要走自定义路线？

Answer 1

您可以按照这篇 MSDN 文章中的说明使用 Azman。

但 Azman 有很多地方我不喜欢，因此我推出了自己的角色作为 RoleProvider 的补充（用于管理权限到角色映射的附加表、API 和管理工具）。

我的自定义实现非常简单：

• 角色和权限之间的MN关系。

• API“HasPermission”，用于测试给定主体是否具有给定权限。 这只是迭代所有角色并检查该角色是否具有给定的权限。 出于性能原因，映射权限角色使用 ASP.NET 缓存进行缓存。

Answer 2

它不是开箱即用的。 但如果您想要更细化，为什么不使用“CanPrint”、“CanDelete”等细化角色，而不是“Admin”等更广泛的角色呢？

如果他们想要一个容器类型场景，正如您在评论中指出的那样，您可以设置一个自定义 IPrincipal - 在身份验证之后，并且对于每个新请求，您都会查看用户的角色成员身份（“管理员”、“公共”等），然后覆盖您的 IPrincipal 上的 IsInRole。 您可以在此处找到示例

Answer 3

我发现这篇文章举了一个很好的例子

[Flags]
public enum Permissions
{
View                 = (1 << 0),
Add                  = (1 << 1),
Edit                 = (1 << 2),
Delete               = (1 << 3),
Admin                = (View | Add | Edit | Delete)
}

public ActionResult Authenticate(string username, string password)
{
var user = authenticationService.Authenticate(username, password);
Session["User"] = user;

return RedirectToAction("Somewhere", "Else");  
}

public class PermissionsAttribute : ActionFilterAttribute
{
private readonly Permissions required;

public PermissionsAttribute(Permissions required)
{
    this.required = required;
}

public override void OnActionExecuting(ActionExecutingContext filterContext)
{
    var user = filterContext.HttpContext.Session.GetUser();
    if (user == null)
    {
        //send them off to the login page
        var url = new UrlHelper(filterContext.RequestContext);
        var loginUrl = url.Content("~/Home/Login");
        filterContext.HttpContext.Response.Redirect(loginUrl, true);   
    }
    else
    {
        if (!user.HasPermissions(required))
        {
            throw new AuthenticationException("You do not have the necessary permission to perform this action");
        }
    }
}
}

[Permissions(Permissions.View)]
public ActionResult Index()
{

// ...

}

Answer 4

您可以在 RoleProvider 中返回 PERMISSIONS 而不是 ROLES。

public override string[] GetRolesForUser(string username) {
   return GetGrantedPermissions(userName);
}

然后创建管理页面，向角色添加 {granted/denied} 权限，当然还有向角色添加用户权限。

Answer 5

是的，这是可能的。 创建所需的角色，将用户添加到角色，然后只需在执行需要该角色的操作的代码中检查 User.IsInRole 即可。

查看 System.Web.Security 中的 Roles 和 MemberShip 类