使用 web.sitemap 控制页面访问

Question

我正在 web.config 中使用 标记为 ASP.NET 网站中的页面设置权限，类似于此：

<location path="Users.aspx">
  <system.web>
    <authorization>
      <allow roles="Administrator"/>
      <deny users="*"/>
    </authorization>
  </system.web>
</location>

但是，我也有一个 web.sitemap，它基本上包含相同的内容信息，即哪些用户角色可以查看/访问哪些页面。我的 web.sitemap 的片段：

<?xml version="1.0" encoding="utf-8" ?>
<siteMap xmlns="http://schemas.microsoft.com/AspNet/SiteMap-File-1.0" >
  <siteMapNode title="Home">
    ... lots of nodes here ...
    <siteMapNode url="users.aspx" roles="Administrator" title="users" description="Edit users" />
    ...
  </siteMapNode>
</siteMap>

是否有某种巧妙的方法仅使用 web.sitemap 来配置访问？ 标记非常冗长，我不喜欢重复此信息。

Answer 1

您可能正在寻找 SecurityTrimmingEnabled。请参阅此论坛帖子和博客条目了解更多详细信息。

因此，Web.config 限制直接 URL 键入的访问和 Web.sitemap - 来自显示的 URL

Answer 2

当然，您可以在 web.config 中定义一个 SiteMapProvider，并使用 CurrentNode 属性来获取与请求的页面相关的 SiteMapNode。

首先声明您的 siteMap 提供程序 (web.config) ：

<siteMap enabled="true" defaultProvider="DefaultXmlSiteMapProvider">
  <providers>
    <add siteMapFile="Web.sitemap" name="DefaultXmlSiteMapProvider" securityTrimmingEnabled="true" type="System.Web.XmlSiteMapProvider, System.Web, Version=2.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a"/>
  </providers>
</siteMap>

使用 CurrentNode 进行页面访问控制的示例代码（您可以做得更好；））：

bool hasAccess = false;

if (SiteMap.CurrentNode == null)
    throw new ApplicationException("Page not present in SiteMap : " + this.Request.Url.AbsolutePath);

if (SiteMap.CurrentNode.Roles.Count > 0)
{
    // All roles or no roles
    if (SiteMap.CurrentNode.Roles.Contains("*") == true)
    {
        hasAccess = true;
    }
    else
    {
        for (int index = 0; index < SiteMap.CurrentNode.Roles.Count; index++)
        { 
            string role = SiteMap.CurrentNode.Roles[index].ToString();
            hasAccess = HttpContext.Current.User.IsInRole(role);
            if (hasAccess == true)
               break;
        }
    }
}

注意我添加了每个人角色（*），非常有用。

Answer 3

这是我自己的 SiteMapProvider 的代码，它会抛出异常，其中请求页面（节点）的用户无权执行此操作（他的角色不在节点角色列表中）

public class XmlSiteMapProvider : System.Web.XmlSiteMapProvider
{
    public override bool IsAccessibleToUser(HttpContext context, SiteMapNode node)
    {
        var roles = node.Roles.OfType<string>();
        if (roles.Contains("*") || (roles.Count(r => context.User.IsInRole(r)) > 0))
        {
            return true;
        }
        else
        {
            throw new InsufficientRightsException();
        }
    }
}

来实现我的自己的角色逻辑我还制作了自己的RoleProvider。