按方法参数改变 WCF 安全角色/声明

Question

我有一个实现 IAuthorizationPolicy 的类。我根据登录用户设置了一个自定义主体对象，该用户具有我的所有基本级别角色（我也使用声明完成了此操作）。现在我想根据作为消息参数传入的键值来更改特定主体所具有的角色。

我遇到的问题是无法在授权策略类中读取请求消息，因为我无权将消息写回请求上下文。我可以使用 CheckAccess 方法的重写在 ServiceAuthorizationManager 派生类中复制和读取消息。但是，我必须确保在执行此操作之前已调用 GetAuthorizationPolicies 方法。

我正在寻找有关如何根据消息是否包含特定参数来改变主体角色的建议。基本上，当 Evaluate 方法 id 调用策略时，我想做这样的事情：

string myObjectId = null;

if (!messageCopy.IsEmpty)
{
    System.Xml.XmlDictionaryReader xdr = messageCopy.GetReaderAtBodyContents();
    xdr.ReadToDecendant("objectId");
    if (xdr.Read())
    {
        myObjectId = xdr.ReadContentAsString();
    }
    xdr.Close();
}
messageCopy.Close();

ClaimSet claims = (myObjectId != null) ?
    MapClaims(identity, myObjectId) : MapClaims(identity);

DefaultPrincipal principal = new DefaultPrincipal(identity, claims);

Answer 1

经过一整天的尝试失败后，我放弃了读取消息正文的尝试，并使用了一种更简单的方法，添加 SOAP 消息头。调用服务时，我现在执行以下操作：

using (new OperationContextScope((IContextChannel)myService)) {
    OperationContext.Current.OutgoingMessageHeaders.Add(
        MessageHeader.CreateHeader("objectId", "http://tempuri.org/", "object value"));
    myService.BeginMyOperation(parm, callback, state);
}

然后在我的服务授权策略的 Evaluate 方法中执行以下操作：

int index = OperationContext.Current.IncomingMessageHeaders.FindHeader(
    "objectId", "http://tempuri.org/");

string myObjectId = (index < 0) ? null : 
    OperationContext.Current.IncomingMessageHeaders.GetHeader<string>(index);

ClaimSet claims = (myObjectId != null) ?
    MapClaims(identity, myObjectId) : MapClaims(identity);

DefaultPrincipal principal = new DefaultPrincipal(identity, claims);

Answer 2

我在开发 WebAPI 安全性时遇到了同样的情况，我选择了下一个方法：

• 接收参数的方法创建 AuthorizationContext，它将参数作为资源声明传递，
• 然后我的自定义 ClaimsAuthorizationManager 可以从 AuthorizationContext.Resource 获取参数并从授权中使用它。