如何实现 ASP.NET MVC 站点的安全性以拒绝对特定组的访问？

Question

我有一个内部公司 ASP.NET MVC 网站。

要求(1)：当任何人在网络上时，除了一个 AD 组（例如：AD_Sales 组）之外，他们都可以访问此站点。

要求(2)：例如，如果具有访问权限的人传递一个网址（例如：http://mysite/Home/Index/Product/Letter）对于销售组人员来说，他仍然不应该访问并且需要显示一条自定义消息：“您无权查看此页面”。

如果情况是向一个 AD 组授予访问权限并拒绝所有其他组的访问，这是公平的。可以从 IIS 完成。我想知道如何做到这一点。

有人已经实现了这种情况的安全性吗？

感谢您的宝贵时间和回复。

谢谢

Answer 1

我相信这对你有用...

2 步骤...
您需要做的第一件事是在您的 Global.asax.cs 中尝试将此

protected void Application_AcquireRequestState(Object sender, EventArgs e)
    {
        //Context.Handler in this state, we can access Session.
        if (Context.Handler is IRequiresSessionState || Context.Handler is IReadOnlySessionState)
        {
            //Is it a session created in this request?
            if (Session.IsNewSession)
            {
                //Am I already authenticated?
                if (User.Identity.IsAuthenticated)
                {
                    //if already authenticated, check if it is logon, if not, we just logout,
                    //else, we can continue the logon and reset the user identity.
                    string url = Request.Url.ToString();
                    if (url.IndexOf("Account/LogOn") < 0)
                    {
                        FormsAuthentication.SignOut();
                        Response.Redirect(Request.RawUrl);
                    }
                }
            }
            else
            {
                //Am I already authenticated?
                if (User.Identity.IsAuthenticated)
                {
                    try
                    {
                        /// Here we try to get the current role of the user logged in from the session 
                        SessionUser myRole = CurrentUser.GetRole();
                        string[] strRole;
                        switch (myRole)
                        {
                            case Role.ADSales:
                                {
                                    string[] Roles = { "ADSales" };
                                    strRole = Roles;
                                }
                                break;
                            case Role.DeptHead:
                                {
                                    string[] Roles = { "DeptHead" };
                                    strRole = Roles;
                                }
                                break;
                            case Role.ProductionCrew:
                                {
                                    string[] Roles = { "ProductionCrew" };
                                    strRole = Roles;
                                }
                                break;
                            case Role.Admin:
                                {
                                    string[] Roles = { "Admin" };
                                    strRole = Roles;
                                }
                                break;
                            default:
                                throw new AuthenticationException(ErrorEnum.Impossible);
                            //break;
                        }
                        Context.User = new System.Security.Principal.GenericPrincipal(Context.User.Identity, strRole); 

                    }
                    catch (Exception)
                    {
                        string url = Request.Url.ToString();
                        if (url.IndexOf("Account/LogOn") < 0)
                        {
                            FormsAuthentication.SignOut();
                            Response.Redirect(Request.RawUrl);
                        }
                    }


                }
            }
        }
    }

Next 在您的控制器中添加属性

[Authorize(Roles = "ProductionCrew,DeptHead,Admin")]   
public ActionResult Letter()
{
   Return View();
}

请注意，我没有在角色中包含 ADSales，这意味着具有所述角色的用户无法访问页面信。

希望这有帮助。如果它对您有帮助，请投票，如果它解决了您的问题，请不要忘记将其标记为答案。谢谢！

Answer 2

您需要在应用程序的目录上启用 Windows 身份验证。然后更改所涉及的文件/目录的 ACL 以拒绝对特定组的访问。最后，将 IIS 403 错误映射到您的拒绝访问方法。