如何在 ASP.NET MVC 中设置整个区域的授权？

Question

我有一个管理区域，我希望只有管理员才能进入该区域。我考虑向管理区域中的每个控制器添加授权属性。是否有一个优雅的解决方案或者框架本身不存在此功能？

编辑： 抱歉，我应该早点提到这一点。我正在使用从 AuthorizeAttribute 派生的自定义 AuthorizedAttribute。

Answer 1

基于 Web.config 的安全性几乎永远应该用在 MVC 应用程序中。原因是多个 URL 可能会访问一个控制器，而将这些检查放在 Web.config 中总是会遗漏一些内容。请记住 - 控制器与区域无关，路线与区域相关联。如果不存在冲突，MVC 控制器工厂将乐意为非区域请求的 Areas/ 文件夹中的控制器提供服务。

例如，使用默认的项目结构，添加带有 AdminDefaultController 的管理区域，您可以通过 /Admin/AdminDefault/Index 和 /AdminDefault/Index 访问此控制器。

唯一支持的解决方案是将属性放在控制器基类上，并确保区域内的每个控制器都是该基类的子类。

Answer 2

我刚刚在调查同样的问题。由于不可能基于区域来保护控制器，因此我想到了一个更简单的选项。

为覆盖控制器的每个区域创建一个基本控制器定义，并向其添加安全要求。然后你只需要确保该区域中的每个控制器都覆盖 AreaController 而不是 Controller 。例如：

/// <summary>
/// Base controller for all Admin area
/// </summary>
[Authorize(Roles = "Admin")]
public abstract class AdminController : Controller { }

它仍然要求您从该基础派生管理区域中的每个控制器，

public class HomeController : AdminController
{
    // .. actions
}

但至少您有一个定义该区域安全性的点。

Answer 3

我刚刚开始做这个......但到目前为止这对我来说效果很好。

我创建一个自定义 AuthorizeAttribute 类并将其添加到 RegisterGlobalFilters 函数中。

在 CustomAuthorizeAttribute 中，我根据其所在区域检查各种条件。

public class FilterConfig
{
    public static void RegisterGlobalFilters(GlobalFilterCollection filters)
    {
        filters.Add(new CustomAuthorizeAttribute());
        filters.Add(new HandleErrorAttribute());
    }
}

public class CustomAuthorizeAttribute : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        var routeData = httpContext.Request.RequestContext.RouteData;
        var controller = routeData.GetRequiredString("controller");
        var action = routeData.GetRequiredString("action");
        var area = routeData.DataTokens["area"];
        var user = httpContext.User;
        if (area != null && area.ToString() == "Customer")
        {
            if (!user.Identity.IsAuthenticated)
                return false;
        }
        else if (area != null && area.ToString() == "Admin")
        {
            if (!user.Identity.IsAuthenticated)
                return false;
            if (!user.IsInRole("Admin"))
                return false;
        }
        return true;
    }
}

Answer 4

如果您的所有管理代码都在一个控制器中，则将 Authorize 添加到整个类。

[Authorize]
public class AdminController : Controller
{
     .......
}

Answer 5

当前接受的答案不是最安全的解决方案，因为它要求开发人员始终记住为任何新控制器或操作继承该新基类（“黑名单”；允许用户访问所有内容，除非操作是手动限制的）。当不熟悉您的惯例的新开发人员被引入项目时，这尤其会导致问题。如果这样做的话，很容易忘记继承正确的控制器类，尤其是在您将注意力从项目上移开几周、几个月或几年之后。如果开发人员忘记继承，那么项目中存在安全漏洞并不明显。

解决此问题的更安全的解决方案是拒绝对所有请求的访问，然后使用允许访问操作的角色来装饰每个操作（“白名单”；除非手动允许，否则阻止所有用户的访问） 。现在，如果开发人员忘记将正确的授权列入白名单，用户会让您知道，这就像查看其他控制器以获取有关如何提供正确访问权限的提醒一样简单。不过，至少没有出现重大安全漏洞。

在 App_Start/FilterConfig.cs 文件中，修改 FilterConfig 类：

public static void RegisterGlobalFilters(GlobalFilterCollection filters)
    {
        ...

        //Deny access to all controllers and actions so that only logged in Administrators can access them by default
        filters.Add(new System.Web.Mvc.AuthorizeAttribute() { Roles = "Administrator" });
    }

这使得所有操作都无法访问，除非用户以管理员身份登录。然后，对于您希望不同授权用户有权访问的每个操作，您只需使用 [OverrideAuthorization] 和 [Authorize] 对其进行修饰即可。

在您的业务逻辑中，这允许您以多种方式使用授权属性，而无需担心未经授权的用户访问任何功能。以下是一些示例。

示例 1 - 只有登录的管理员和调度程序用户才被允许访问 Index() Get 和 Post 方法。

public class MarkupCalculatorController : Controller //Just continue using the default Controller class.
{
    // GET: MarkupCalculator
    [OverrideAuthorization]
    [Authorize(Roles = "Administrator,Dispatcher")]
    public ActionResult Index()
    {
        //Business logic here.

        return View(...);
    }

    // POST: DeliveryFeeCalculator
    [HttpPost]
    [ValidateAntiForgeryToken]
    [OverrideAuthorization]
    [Authorize(Roles = "Administrator,Dispatcher")]
    public ActionResult Index([Bind(Include = "Price,MarkedupPrice")] MarkupCalculatorVM markupCalculatorVM)
    {
        //Business logic here.

        return View(...);
    }
}

示例 2 - 只有经过身份验证的用户才可以访问 Home 控制器的 Index() 方法。

public class HomeController : Controller
{
    [OverrideAuthorization]
    [Authorize] //Allow all authorized (logged in) users to use this action
    public ActionResult Index()
    {
        return View();
    }

}

示例 3 - 通过使用 [AllowAnonymous] 属性，可以允许未经身份验证的用户（即匿名用户）访问方法。这还会自动覆盖全局过滤器，而无需 [OverrideAuthorization] 属性。

    // GET: /Account/Login
    [AllowAnonymous]
    public ActionResult Login(string returnUrl)
    {
        ViewBag.ReturnUrl = returnUrl;
        return View();
    }

    //
    // POST: /Account/Login
    [HttpPost]
    [AllowAnonymous]
    [ValidateAntiForgeryToken]
    public async Task<ActionResult> Login(LoginViewModel model, string returnUrl)
    {
        ...
    }

示例 4 - 仅允许管理员访问缺少 [Authorize] 属性的方法。

public class LocationsController : Controller
{

    // GET: Locations
    public ActionResult Index()
    {
        //Business logic here.
        return View(...);
    }
}

一些注意事项。

如果您希望将对特定操作的访问权限限制为特定角色，则必须使用[OverrideAuthorization] 属性。否则，[Authorize] 属性将被忽略，并且仅允许默认角色（在我的示例中为管理员），即使您指定其他角色（例如调度程序等），因为全局角色也是如此。筛选。任何未经授权的用户将被重定向到登录屏幕。

使用[OverrideAuthorization] 属性会导致操作忽略您设置的全局过滤器。因此，每当您使用覆盖时，您必须重新应用[Authorize]属性，以便操作保持安全。

关于整个区域和控制器

要按照您的要求按区域进行限制，请将 [OverrideAuthorization] 和 [Authorize] 属性放在控制器上的个人行动。

Answer 6

在startup.cs中使用区域名称和带有AuthorizeAreaFolder的斜杠对我有用：

services.AddRazorPages()
        .AddRazorPagesOptions(options => options.Conventions.AuthorizeAreaFolder("Admin", "/"))
        .WithRazorPagesAtContentRoot();

Answer 7

builder.Services.AddAuthorization(options =>
{
options.AddPolicy("AdminPolicy", policy => policy.RequireRole("Administrator"));
});
builder.Services.AddRazorPages(options =>
{
options.Conventions.AuthorizeAreaFolder("Identity","/Account/Manage", "AdminPolicy");
});

Answer 8

..非常粗鲁地我相信你想要这样的东西？

快速且脏角色管理

[Authorize(Roles = "Admins")]
public ActionResult Register()
{
  ViewData["roleName"] = new SelectList(Roles.GetAllRoles(), "roleName");
  ViewData["PasswordLength"] = MembershipService.MinPasswordLength;
  return View();
}