使用反射查找将在控制器中执行的方法

Question

我正在维护一个 ASP.NET MVC 站点，他们在那里做自己的安全工作。因此，他们创建了一个从 AuthorizeAttribute 派生的类。在OnAuthorization中，它们有一些反射代码，可以根据RouteData中的action名称查找方法。

我看到的问题是，如果控制器中有多个操作函数，仅 AcceptVerb 或参数不同，则可能不会授权用户：

IList<MethodInfo> methods = filterContext.Controller.GetType().GetMethods().Where(i=>i.Name == action).ToList();

foreach (MethodInfo method in methods)
{
    //get all of the  controller security properties, and check for access:
    object[] props = method.GetCustomAttributes(typeof(ControllerSecurity), false);
    foreach (ControllerSecurity prop in props)
    {
        //does the user have access to this area/action?
        authorized = security.ValidateUserForAction(prop.SecurityArea, prop.SecurityAction);

        //if we are authorized by one ControllerSecurity, then we are good.
        if (authorized)
        {
            break;
        }
    }
}

ControllerSecurity class 是一个 Attribute 类，用于装饰我们的控制器操作，并描述该功能所需的安全访问：

//User needs to have VIEW privileges to REPORTS area:
[ControllerSecurity("REPORTS", "VIEW")]
public ActionResult Index(){...}

必须有更好的方法来做到这一点，而无需重写安全性。我想确定地知道我们只检查最终将运行的方法。

我查看了 AuthorizationContext 对象，但无论如何都找不到可靠地找到最终将被调用的操作方法。

有人有什么想法吗？

Answer 1

我认为 Mvc 已经为您提供了一种访问特定操作的方法。我还没有尝试过，但试试这个..

object[] props = filterContext.ActionDescriptor.GetCustomAttributes(typeof(ActionMethodSelectorAttribute), false);
foreach (ActionMethodSelectorAttribute prop in props)
{
        //does the user have access to this area/action?
        authorized = security.ValidateUserForAction(prop.SecurityArea, prop.SecurityAction);

        //if we are authorized by one ControllerSecurity, then we are good.
        if (authorized)
        {
                break;
        }
}   

需要注意的是filterContext.ActionDescriptor，它存在于OnAuthorization方法中传入的AuthorizationContext中。

如果这不起作用，您可以考虑在操作查找代码中使用 ActionNameSelectorAttribute。您展示的代码并不总是有效。以某人显式使用 ActionName["MyAction"] 来定义操作而不是隐含方法名称的情况为例。