控制器和操作的集中授权 (ASP.NET MVC 3)

Question

在自定义 AuthorizeAttibute（全局注册）中，是否存在任何可能的安全问题或陷阱，以根据控制器类型和被调用的操作应用授权？

例如（不是真正的代码）

string controllerFullName=_filterContext.ActionDescriptor.ControllerDescriptor.ControllerType.FullName;

string minRequiredRole = GetControllerMinRequiredRole(controllerFullName);

if(User.MeetsRoleRequirement(minRequiredRole))
{
     //give access
}
else
{
    //no you're not allowed
}

Answer 1

主要问题在于授权缓存 - 所以有一些事情需要了解。查看我在此处发布的链接：

Creating a AuthorizeAttribute - what do I need to know?

查看现有属性的代码以及它如何处理缓存，以确保您不会导致与基本属性相同的问题。