如何实现这个 mvc 过滤器属性？

Question

我需要将新的安全 API 集成到我组织中的多个现有应用程序中。一些应用程序使用 ASP.NET MVC 并使用 .NET AuthorizeAttribute 类来装饰具有安全性的类。

例如：

[Authorize(Roles="MY_CORP\Group1,MY_CORP\Group2")]
public class MyClass
{
    //
}

以上代码基于 Windows 身份验证配置。我需要更新此实现以使用新的安全 API。新的安全 API 将像这样检索用户：

var user = new SecurityApi().GetUser(userId);
var groups = user.Groups;

因此，理想情况下，更新后的装饰器应如下所示，其中 GroupX 和 GroupY 作为从安全 API 返回的 user.Groups 存在：

[Authorize(Roles="GroupX, GroupY")]
public class MyClass
{
    //
}

知道我将如何实现这一点吗？

Answer 1

我使用了一些类似的东西：

public class RequireAuthAttribute : TypeFilterAttribute
{
    public RequireAuthAttribute(params Roles[] rolesRequirement) 
        : base(typeof(RequireAuthFilter))
    {
        Arguments = new object[] { rolesRequirement };
    }

    public enum Roles: ushort
    {
        CompanyOnly,
        AuthenticatedCustomer,
        AuthorizedCustomer,
        AuthorizedOwnerManager
    }
}

与：

public class RequireAuthFilter : IAsyncActionFilter
{
    private readonly Roles[] _rolesToAllow;

    public RequireAuthFilter(Roles[] rolesRequirement = default(Roles[]))
    {
        _rolesToAllow = rolesRequirement;
    }

    public async Task OnActionExecutionAsync(
    ActionExecutingContext context, 
    ActionExecutionDelegate next ) 
    {
        // Verify is Authenticated
        if (context.HttpContext.User.Identity.IsAuthenticated != true)
        {
            context.HttpContext.SetResponse(401, "User is not Authenticated");
            return;
        }

        var isCompanyAdmin = context.HttpContext.IsCompanyAdmin(); 
        // ^ HttpContext Extension method that looks at our JWT Token 
        // and determines if has required Cliams/Roles.

        if (isCompanyAdmin == true)
        {
            await next();
            return;
        } else {
            context.HttpContext.SetResponse(401, "Restricted to Company");
            return;
        }

        // Other custom logic for each role.
        // You will want to decide if comma represents AND or an OR 
        // when specifying roles.
    }
}

并像这样使用：

[RequireAuth(Roles.CompanyOnly, Roles.AuthorizedOwnerManager)]
public class MyClass
{
    //
}