控制器和操作的集中授权 (ASP.NET MVC 3)

Question

在自定义 AuthorizeAttibute（全局注册）中，根据所调用的控制器类型和操作应用授权是否存在任何可能的安全问题或陷阱？

例如（不是真正的代码）

string controllerFullName=_filterContext.ActionDescriptor.ControllerDescriptor.ControllerType.FullName;

string minRequiredRole = GetControllerMinRequiredRole(controllerFullName);

if(User.MeetsRoleRequirement(minRequiredRole))
{
     //give access
}
else
{
    //no you're not allowed
}

Answer 1

主要问题是授权缓存 - 因此有一些事情需要了解。查看我在此处发布的链接：

创建 AuthorizeAttribute -我需要知道什么？

查看现有属性的代码以及它如何处理缓存，以确保您不会导致基本属性所防止的相同问题。