MVC中的授权属性顺序、优先级和功能问题

Question

角色中有一些我不太明白的地方。使用 [Authorize] 属性

当控制器和操作上都有 [Authorize] 属性时：

1. 当角色同时存在于两者中时，该角色将具有访问权限
2. 当角色仅在控制器中定义，但不在操作中定义时，无访问权限
3. 当角色仅在操作中定义，但不在控制器中定义时，无访问权限

我明白了，这是合乎逻辑的。您需要先访问控制器，然后才能运行操作。

我不明白的是为什么这不起作用：

[Authorize(Roles = "Algemeen Beheer, Admin, Coordinator, Secretariaat")]
public class FacturatieGegevensController : Controller {

    [Authorize(Users = "Stefan.coordinator", Roles = "Algemeen Beheer, Admin")]
    public ActionResult Create(int instID) {

        return View();
    }

}

当我以具有角色 coordinator 的用户 Stefan.coordinator 身份登录时，我可以访问控制器，但我无法访问创建操作。 我认为这将是 Users 和 Roles 之间的 OR 关系。不是吗？我该如何让它发挥作用？

Answer 1

访问Create方法的条件是：

((角色 { Algemeen Beheer, 管理员,
秘书处协调员 })) [来自控制级] AND
(({ Stefan.coordinator } 中的用户) AND
（{ Algemeen Beheer, Admin } 中的角色））[来自方法级别]

一旦计算出所有 AND / OR ，结果就很简单：

{ Stefan.coordinator } 中的用户和 { Algemeen Beheer, Admin } 中的角色

也就是说，在特定的 AuthorizeAttribute 中，用户和角色是 AND 在一起的。在多个 AuthorizeAttributes 中，条件是通过 AND 组合在一起的。

最好的思考方式是 [Authorize] 属性彼此不知道，因此每个属性都独立执行。首先是控制器级的，然后是方法级的。要访问该方法，您需要通过所有门。

编辑 - 有一个关于上面的逻辑如何运作的问题。

设：

A = ROLE is "Algemeen Beheer"
B = ROLE is "Admin"
C = ROLE is "Coordinator"
D = ROLE is "Secretariaat"
E = USER is "Stefan.coordinator"

由于控制器级[Authorize]属性为(A || B || C || D)，因此方法级[Authorize]属性为(E && (A || B))，并且多个[授权]属性由逻辑AND表示，逻辑结果为(A || B || C || D) && (E && (A || B))，简化为 E && (A || B)，这要求用户名为“Stefan.coordinator”并且具有“Algemeen Beheer”或“Admin”角色。由于用户 Stefan.coordinator 不属于这两个角色中的任何一个，因此检查失败。

针对您的特定问题..

如果您想将自己的逻辑应用于 [Authorize] 属性检查，请子类化 AuthorizeAttribute 并重写 AuthorizeCore 方法。这样你就可以说 if (User == "Stefan.coordinator" || base.AuthorizeCore(...)) { ... }。