基于基于角色的安全性隐藏 Html.ActionLinks

Question

我在 _Layout.cshtml 中使用 @RenderSection("Contextual", false) 来允许不同的视图在那里呈现其特定内容。有些人没有，有些人有。

此外，我使用基于角色的安全性和 ActionFilter 来控制特定用户是否有权访问特定控制器操作，从而控制我的站点上的路由。

我想做的是在我的 _Layout.cshtml 上提供一个 @RenderSection("Contextual", false) 部分，然后让特定页面提供对该页面有意义的任何上下文内容 并让相应的控制器处理用户是否可以执行操作的审核，甚至可能看到选项存在，但我不确定我是否正确考虑了这一点。目前的情况是这样的：

现在，我的 Index.cshtml 文件之一中有一个部分，如下所示：

@section Contextual {
  <div>@Html.ActionLink("Create New", "Create")</div>
  <div>@Html.ActionLink("Generate Report", "Report")</div>
  <div>@Html.ActionLink("Other Stuff", "Other")</div>
}

然后在我相应的控制器中，我有如下所示的内容：

[Authorize(Roles = "Editor")]
public ActionResult Create()
{
   // stuff
}

这将按我想要的方式工作（非编辑者）无法创建新项目）但“创建”条目可供所有人查看。我可以这样做：

@section Contextual {
  @if (User.IsInRole("Editor"))
  {
     <div>@Html.ActionLink("Create New", "Create")</div>
  }
  <div>@Html.ActionLink("Generate Report", "Report")</div>
  <div>@Html.ActionLink("Other Stuff", "Other")</div>
}

而且效果很好，对非编辑者隐藏了“创建”链接，但我对以这种方式处理它是否好持观望态度，而且我可以看到，我遇到了规则发生变化的情况，然后我有两个位置需要保持同步：控制器操作上的属性和视图中的代码。

这是一个合理的做法吗？有更好的方法来解决这个问题吗？

Answer 1

我非常喜欢@TJB 的回答，并且认为我实际上会做类似的事情。但如果您想走不同的路线...您可以创建自己的 LinkExtensions 来超载标准 LinkExtensions。

public static class MyLinkExtensions
{
    public static MvcHtmlString ActionLink(this HtmlHelper htmlHelper, string linkText, string actionName, YourAccessStuff access)
    {
        if(access.Has(actionName))
        {
            ActionLink(htmlHelper, linkText, actionName);            
        }
        else
        {
            // Maybe only show the link text as if it's disabled and not a link?
            // Maybe do nothing?          
        }
    }
}

这里假设“YourAccessStuff”实际上已实现。这将集中这些访问检查，而不是将它们粘贴在每个 ActionLink 上。明显的缺点是您仍然可能忘记进行安全检查。使用某种依赖注入也会让这变得更好。

Answer 2

我喜欢使用对于控制器上填充的视图模型更明确的标志。

例如：

 // on the controller
 viewModel.CanCrete = User.IsInRole("Editor");
 // ...snip...
 return View(viewModel);
}

因此，您需要将此标志添加到您的视图模型中，或者可能添加到你的视图模型。您可以创建自定义操作筛选器，以跨多个控制器填充它或执行一些操作在您的控制器基类中进行处理。

我还想定义一个方便的扩展方法：

public static string If( this string s, bool condition )
{
  return condition ? s : String.Empty;
}

根据您使用的 API，您可能还需要扩展 MvcHtmlString。

然后在视图中：

@section Contextual {
  <div>@Html.ActionLink("Create New", "Create").If(Model.CanCrete)</div>
  <div>@Html.ActionLink("Generate Report", "Report")</div>
  <div>@Html.ActionLink("Other Stuff", "Other")</div>
}

您可以决定对 div 执行什么操作，您可能想要另一个将链接包装在 div 中的助手，或者您可以使用 CSS 来实现您想要的任何视觉布局我们要去。