ASP.NET MVC 中的授权

Question

我面临一个案例，我已经研究了很多，但仍然找不到解决方案。 我的任务是完成 ASP.NET MVC 1 应用程序中的角色实现。 这里的情况与应用程序中权限的通常做法相反。 让我们想象一下，在一个 5 页的网站中，我们有两个角色：操作员和经理。拥有继承这两个角色的用户，我想根据以下模式允许和拒绝查看页面的权限：

对于页面 1，操作员角色允许用户查看，但管理员角色拒绝；在这种情况下，我想让具有这两个角色的用户查看页面；

对于第 2 页，操作员角色拒绝用户查看，管理员角色也拒绝；当两个角色都拒绝用户查看页面时，这是我真正想要拒绝角色的唯一情况。

因此，每当用户继承多个角色时，应该确定他无法查看页面的是完全拒绝（他的所有角色都被拒绝），并且每当他有一个允许的角色时，即使他的所有其他角色都拒绝，他仍然可以查看该页面。

有谁知道如何实现这一点？

编辑：

除了站点地图中使用的内容之外，下面只是我们的应用程序中如何完成授权的一瞥。 您可以看到下面的规则使用了多个配置文件。我上面描述的情况需要与下面所说的实现一起工作。

<Rules xmlns="urn:artemis.runtime.web.security">
    <!-- RUNTIME -->
    <Rule roles="*" resource="^Artemis\.Runtime\.Web\.FilesController\..*" permission="Allow" />

    <!-- ABERTURA GERAL -->
    <Rule roles="*" resource="^Tagus\.Logistics\.Web\.Controllers\..*" permission="Allow" />

<Rule roles="Gestor Cliente,DUN" resource="^Tagus\.Logistics\.Web\.Controllers\.PlanningVsEffectiveController\..*" permission="Deny" />
</Rules>

Answer 1

[Authorize(Roles = "Operator")]
public ViewResult PageOne(){
    return View();
}

[Authorize(Roles = "SomeOneElse")]
public ViewResult PageTwo(){
    return View();
}

如果我理解正确的话，您不会看到任何一个角色查看第二页？

Answer 2

授权用于决定允许而不是拒绝谁。如果您想添加拒绝功能，我想您可以创建自定义授权属性。比如：

[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, Inherited=true, AllowMultiple=true)]
public class DenyRolesAttribute : AuthorizeAttribute    
{
    public DenyRolesAttribute(string roles) : base()
    {
        Roles = roles;
    }

    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        if (httpContext == null)
        {
            throw new ArgumentNullException("httpContext");
        }
        IPrincipal user = httpContext.User;

        if (!string.IsNullOrEmpty(Roles) && Enumerable.Any<string>(Roles.Split(','), new Func<string, bool>(user, (IntPtr) user.IsInRole)))
        {
            return false;
        }
        return true;
     }
 }

我当场做了这个，所以一定要测试并整理它。或者添加一个AllowRoles 和一个DenyRoles 属性，这样您就可以在重写的AuthorizeCore 方法中执行这两个操作。你明白了