AuthorizeAttribute 构造函数参数 Roles equals string.empty 含义？

Question

这是一些 MCTS 70-515 考试练习测试中的问题。

请帮助提供正确的 2 个答案

---

您正在实现一个 ASP.NET MVC 2 Web 应用程序，该应用程序允许用户查看和编辑数据。您需要确保只有登录用户才能访问控制器的编辑操作。您可以添加到“编辑”操作以实现此目标的两个可能属性是什么？

（每个正确答案都提供一个完整的解决方案。选择两个。）

1. [Authorize(Users = "")]
2. [Authorize(Roles = "")]
3. [Authorize(Users = "*")]
4. [Authorize(Roles = "*") ]

Answer 1

查看AuthorizeAttribute的源代码发现没有通配符“*”。

如果 [Authorize(Users = "")] 会导致“没有人”可以访问该操作，则毫无意义。

所以答案1和2是正确的。

AuthorizeAttribute 的源代码

protected virtual bool AuthorizeCore(HttpContextBase httpContext) {
    if (httpContext == null) {
        throw new ArgumentNullException("httpContext");
    }

    IPrincipal user = httpContext.User;
    if (!user.Identity.IsAuthenticated) {
        return false;
    }

    if (_usersSplit.Length > 0 && !_usersSplit.Contains(user.Identity.Name, StringComparer.OrdinalIgnoreCase)) {
        return false;
    }

    if (_rolesSplit.Length > 0 && !_rolesSplit.Any(user.IsInRole)) {
        return false;
    }

    return true;
}

以及Role 和Users 属性。

public string Roles {
    get {
        return _roles ?? String.Empty;
    }
    set {
        _roles = value;
        _rolesSplit = SplitString(value); // simple split by comma
    }
}

public string Users {
    get {
        return _users ?? String.Empty;
    }
    set {
        _users = value;
        _usersSplit = SplitString(value); // simple split by comma
    }
}

Answer 2

编辑：我已经对此进行了更改，因此它现在是正确的，只是补充了 dknaack 的正确答案

用 [Authorize] 装饰操作意味着用户必须经过身份验证。

因此，如果您希望任何登录用户都能够访问某个操作，通常只需输入 [Authorize]。

dknaack 参考了源代码，所以他的答案一定是正确的，尽管对我来说似乎有点奇怪。但显然是对的！

只是补充一下，如果 _usersSplit 就像逗号上的正常分割一样，那么当 _users 时，我们期望 _usersSplit.Length 为 1 ="" 我仍然是对的，但我猜 split 函数正在使用 RemoveEmptyEntries 选项。无法参考来源，因为现在我已经离开了（昨天进行了膝盖手术，目前还不允许在计算机上使用 - 哈哈）。

空字符串不是用户或角色的有效名称。请参阅此处：http://msdn.microsoft.com /en-us/library/8fw7xh74(v=VS.100).aspx

如果指定的用户中有任何一个，则应抛出 ArgumentException
名称或角色名称是空字符串，如果是，则抛出 ArgumentNullException
任何指定的用户名或角色名称为空（
Visual Basic）。