ASP.NET MVC 中具有表单身份验证的自定义 IPrincipal

Question

这应该很简单，但我在谷歌搜索之后根本无法弄清楚。这就是我想要的。我有一个自定义用户表（目前没有角色），我想对其进行授权。为此，我必须实现一个我已经完成的自定义会员提供程序。我的问题是，如何为 HttpContext.Current.User 设置自定义 IPrincipal？那应该发生在哪里？假设我有以下设置：

public class CustomMembershipProvider : MembershipProvider
{
   private IUserRepository _repository;

   public CustomMembershipProvider(IUserRepository repository)
   {
      _repository = repository;
   }

   public override bool ValidateUser(string username, string password)
   {
      //check user repository 
   }

   //additional methods omitted for brevity 
}

然后我有一个自定义用户类，它实现 IPrincipal 和 IIdentity

 public class CustomUser : IPrincipal
    {
        public CustomUser(string name, int userId, string additionalInfo)
        {
            Identity = new CustomIdentity(name, userId, additionalInfo);
        }

        public IIdentity Identity { get; private set; }

        public bool IsInRole(string role)
        {
            return true;
        }
    }

    public class CustomIdentity : IIdentity
    {
        public CustomIdentity(string name, int userId, string additionalInfo)
        {
            Name = name;
            UserId = userId;
            AdditionalInfo = additionalInfo;
        }

        public string Name { get; private set; }

        public string AuthenticationType
        {
            get { return "CustomAuth"; }
        }

        public bool IsAuthenticated
        {
            get { return !String.IsNullOrEmpty(Name); }
        }

        public int UserId { get; private set; }
        public string AdditionalInfo { get; private set; }
    }

所以我的问题是，设置 Context.User 的正确位置在哪里到此自定义用户的实例？我需要自定义授权属性吗？如果是这样，那会是什么样子？

Answer 1

我建议为所有控制器使用自定义控制器基类

然后，在 OnAuthorization 中调用

protected override void OnAuthorization(System.Web.Mvc.AuthorizationContext filterContext)
{
    // Actual Authentication
    HttpContext.User = user; 
    Thread.CurrentPrincipal = user;
    base.OnAuthorization(filterContext);
}

我不完全确定如何调用成员资格提供程序，因为我正在手动执行此操作，但我认为您已经静态访问 Membership.Provider 以执行实际的对象构造。

<块引用>

我需要自定义授权属性吗？

不会。请注意身份验证和授权的区别：身份验证在您的系统中建立用户的身份。授权允许或拒绝特定请求。因此，AuthorizeAttribute 还具有一个 Roles 参数，以允许仅由某些用户调用操作。