如何在ASP.NET MVC中基于Session数据实现授权检查？

Question

这将是我的第一个带有表单身份验证的 ASP.NET MVC 应用程序，因此我试图确保我不会错过任何内容。 场景是这样的：公共/安全区域。

在私人区域内，它甚至进一步限于特定区域/用户。 这些“区域”是通过对每个用户组自定义的基本区域进行自定义来定义的。

例如，用户可以访问 url /Area/Controller/Action。 他们需要获得安全区域的许可，否则将被重定向到登录视图。

我一直在阅读有关 AuthorizeAttribute 的内容，但我不确定应该如何/在哪里进行这些基本检查。 我最初的预感是在使用用户的 IP 成功登录后在会话中存储一个用户对象以及有关他们有权访问的内容等的详细信息。

每个安全控制器调用的授权检查将验证是否存在有效的用户对象会话期间，IP 仍然匹配，并且用户可以访问特定区域。 这个设置有什么明显的漏洞吗？

编辑：在哪里/如何实现这些检查，以便当控制器被标记为 [Authorize] 时，它将执行这些会话对象检查？

任何指示或建议将不胜感激。 谢谢。

Answer 1

看来我使用了自定义的 AuthorizeAttribute。 其实很简单。 这是代码：

namespace MyApp.Custom.Security
{
    public class Secure : AuthorizeAttribute
    {
        /// <summary>
        /// Checks to see if the user is authenticated and has a valid session object
        /// </summary>        
        /// <param name="httpContext"></param>
        /// <returns></returns>
        protected override bool AuthorizeCore(HttpContextBase httpContext)
        {
            if (httpContext == null) throw new ArgumentNullException("httpContext");

            // Make sure the user is authenticated.
            if (httpContext.User.Identity.IsAuthenticated == false) return false;

            // This will check my session variable and a few other things.
            return Helpers.SecurityHelper.IsSignedIn();
        }
    }
}

然后在我的控制器上，我只需放置一个 [Secure] 属性，只要访问控制器，它就会使用上面的函数。 很简单。 我还创建了一个 [SecureByRole] 属性，它执行所有相同的操作，但也会检查我的自定义角色信息。 无需使用罐装会员资格中的所有内置巫术:)

Answer 2

尝试查看 RoleProvider 类。 这是ASP.net如何使用基于角色的用户授权的基本框架。 我认为你应该使用 [Authorize(Roles='...' )] 属性来利用它。

Answer 3

在我之前的应用程序中，我使用了一个简单的 HttpModule 来通过附加角色等来增强经过身份验证的用户（我这样做是因为我的要求非常有限）。

public class AuthorisationModule : IHttpModule
{
    public void Init( HttpApplication context )
    {
        context.AuthorizeRequest += AuthorizeRequest;
    }

    private void AuthorizeRequest(object sender, EventArgs e)
    {
        var currentUser = HttpContext.Current.User;
        if( !currentUser.IsAuthenticated() )
        {
            return;
        }

        var roles = new List<string>();
        // Add roles here using whatever logic is required

        var principal = new GenericPrincipal( currentUser.Identity, roles.ToArray() );
        HttpContext.Current.User = principal;
    }

    public void Dispose()
    {
        if(HttpContext.Current == null )
        {
            return;
        }

        if(HttpContext.Current.ApplicationInstance == null)
        {
            return;
        }

        HttpContext.Current.ApplicationInstance.AuthorizeRequest -= AuthorizeRequest;
    }
}

Answer 4

[Authorize]
public class BaseController : Controller
{
    protected override void OnAuthorization(AuthorizationContext authContext)
    {
        if
            (
            !User.Identity.IsAuthenticated &&
            Request.LogonUserIdentity != null &&
            Request.LogonUserIdentity.IsAuthenticated
            )
        {
            var logonUserIdentity = Request.LogonUserIdentity.Name;
            if (!string.IsNullOrEmpty(logonUserIdentity))
            {
                if (logonUserIdentity.Contains("\\"))
                    logonUserIdentity = logonUserIdentity.Substring(logonUserIdentity.IndexOf("\\") + 1);

                var db = new UsersContext();
                var loginUser =
                    db.UserProfiles.FirstOrDefault(x => x.UserName == logonUserIdentity);

                //Auto-Login Windows Identity
                if (loginUser == null)
                    loginUser = CreateUser(db, logonUserIdentity);

                if (loginUser != null)
                {
                    FormsAuthentication.SetAuthCookie(loginUser.UserName, true);

                    string returnUrl = Request.RawUrl;
                    if (!string.IsNullOrEmpty(returnUrl))
                        Response.Redirect(returnUrl);
                    Response.Redirect("~/");

                }
            }
        }
    }

    private static UserProfile CreateUser(UsersContext db, string logonUserIdentity)
    {
        var user = new UserProfile {UserName = logonUserIdentity};
        db.UserProfiles.Add(user);
        db.SaveChanges();
        return user;
    }
}