是否有一个相当于 .net 标准 Web 表单（而不是 MVC）的授权属性

Question

我正在开发一个将使用 Windows 角色提供程序的项目，并且我想将功能限制为某些 AD 组。

使用 MVC，我可以在操作方法上方使用 AuthorizeAttribute 并进行相应的重定向。对于不使用 MVC 的标准 Web 表单应用程序 (.NET 3.5)，我可以做类似的事情吗？

Answer 1

您可以在 web.config 中使用授权元素进行设置。

<configuration>
  <system.web>
    <authorization>
      <allow roles="domainname\Managers" />
      <deny users="*" />
    </authorization>
  </system.web>
</configuration>

基本上，使用 时，域组会转换为角色。
您可以在 MSDN 上了解更多相关信息

Answer 2

我知道这是一篇旧帖子，但我想分享一下我刚刚经历过的经历。我不想使用 web.config。我一直在寻找一种为 Web 表单创建类似于 MVC 实现的属性的方法。我发现了 Deran Schilling 的帖子，我将其用作属性部分的基础。

我创建了一个自定义IPrincipal

interface IMyPrincipal : IPrincipal
{
    string MyId { get; }
    string OrgCode { get; }
    string Email { get; }
}

和Principal

public class MyPrincipal : IMyPrincipal
{
    IIdentity identity;
    private List<string> roles;
    private string email;
    private string myId;
    private string orgCode;

    public MyPrincipal(IIdentity identity, List<string> roles, string myId, string orgCode, string email)
    {
        this.identity = identity;
        this.roles = roles;
        this.myId = myId;
        this.orgCode = orgCode;
        this.email = email;
    }

    public IIdentity Identity
    { 
        get { return identity; }
    }

    public bool IsInRole(string role)
    {
        return roles.Contains(role);
    }

    public string Email
    {
        get { return email; }
    }
    public string MyId
    {
        get { return myId; }
    }
    public string OrgCode
    {
        get { return orgCode; }
    }
}

，并创建了一个属性以供在页面上使用

[AttributeUsage(AttributeTargets.Class, AllowMultiple = false)]
public class AdminAuthorizationAttribute : Attribute
{
    public AdminAuthorizationAttribute()
    {
        var user = (MyPrincipal)HttpContext.Current.User;

        if (user.IsInRole("MyAdmin"))
            return;

        throw new AccessDeniedException();
    }
}

，并创建了一些自定义异常

public class AccessDeniedException : BaseHttpException
{
    public AccessDeniedException() : base((int)HttpStatusCode.Unauthorized, "User not authorized.") { }
}

public class BaseHttpException : HttpException
{
    public BaseHttpException(int httpCode, string message) : base(httpCode, message) { }
}

，现在我可以应用该属性以在给定页面上使用

[AdminAuthorization]
public partial class Default : System.Web.UI.Page
{
    protected void Page_Load(object sender, EventArgs e)
    {
    }
}

Answer 3

在全局时尚上设置通用 [Authorize] 属性而不指定角色的一个好方法是将以下代码放入内项目的 web.config 中：标签。

<authorization>
   <deny users="?" />
   <allow users="*" />
</authorization>

这将只允许任何经过身份验证的用户访问该文档，并最终触发重定向到身份验证页面。它相当于MVC中的通用[Authorize]。