如何限制对 ASP.NET MVC 中某些页面的访问？

Question

我希望锁定对用户编辑页面（例如/user/pure.krome/edit）的访问，如果

a）Identity.IsAuthenticated = false

或他们已通过身份验证，但

b）Idenitity.Name！=他们的用户页面的用户名正在尝试编辑
c) Identity.UserType() != UserType.Administrator // 这就像一个角色，但不使用 RoleProviders。

我假设你可以用一些东西来装饰控制器或控制器的操作方法，但我只是不确定什么？

Answer 1

我实现了以下 ActionFilterAttribute，它可以处理身份验证和角色。 我将角色存储在我自己的数据库表中，如下所示：

• User
• UserRole （包含 UserID 和 RoleID 外键）
• Role

public class CheckRoleAttribute : ActionFilterAttribute
{
    public string[] AllowedRoles { get; set; }


    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        string userName = filterContext.HttpContext.User.Identity.Name;

        if (filterContext.HttpContext.User.Identity.IsAuthenticated)
        {
            if (AllowedRoles.Count() > 0)
            {
                IUserRepository userRepository = new UserRepository();
                User user = userRepository.GetUser(userName);
                bool userAuthorized = false;
                foreach (Role userRole in user.Roles)
                {
                    userAuthorized = false;
                    foreach (string allowedRole in AllowedRoles)
                    {
                        if (userRole.Name == allowedRole)
                        {
                            userAuthorized = true;
                            break;
                        }
                    }
                }
                if (userAuthorized == false)
                {
                    filterContext.HttpContext.Response.Redirect("/Account/AccessViolation", true);
                }
            }
            else
            {
                filterContext.HttpContext.Response.Redirect("/Account/AccessViolation", true);
            }
        }
        else
        {
            filterContext.HttpContext.Response.Redirect(FormsAuthentication.LoginUrl + String.Format("?ReturnUrl={0}", filterContext.HttpContext.Request.Url.AbsolutePath), true);
        }


    }

我这样称呼它......

    [CheckRole(AllowedRoles = new string[] { "admin" })]
    public ActionResult Delete(int id)
    {
        //delete logic here
    }

Answer 2

查看AuthorizeAttribute。

ASP.Net MVC：可以覆盖 AuthorizeAttribute 吗？

Answer 3

派生自 AuthorizeAttribute 的自定义属性是什么我经常这样做。 重写 OnAuthorize 方法并实施你自己的逻辑。

public class OnlyUserAuthorizedAttribute : AuthorizeAttribute
{
    public override void OnAuthorize( AuthorizationContext filterContext )
    {
        if (!filterContext.HttpContext.User.Identity.IsAuthenticated)
        {
            filterContext.Result = new HttpUnauthorizeResult();
        }
        ...
    }
}