MVC 中的 OnInit 和 Session答案

【问题标题】：OnInit and Session in MVCMVC 中的 OnInit 和 Session
【发布时间】：2017-10-30 12:31:53
【问题描述】：

在 ASP.Net 中，我们之前为授权编写了这段代码：

public class PageBase : System.Web.UI.Page
{
    protected override void OnInit(System.EventArgs e)
    {
        string CurrentPath = HttpContext.Current.Request.Url.AbsolutePath.ToLower();

        //Check If User Access to this Path
        if(WebUser.Access(CurrentPath) == false)
        {
            Reposponse.Redirect("Loagin.aspx");
        }
    }    
}

而WebUser 是一个包含用户数据的会话：

public User WebUser
{
    get
    {
        if (HttpContext.Current.Session["User"] != null)
        {
            return (User)HttpContext.Current.Session["User"];
        }
        else
        {
            HttpContext.Current.Response.Redirect("Login.aspx", true);
            return null;
        }
    }
}

我们从PageBase继承所有页面。

现在，如果我想使用 MVC 编写类似的代码，我可以编写在每个请求上运行的代码？

谢谢

【问题讨论】：

这看起来像是一个很奇怪的自定义授权系统。但总的来说，如果您只是想将自定义代码注入框架的请求/响应管道，那么自定义操作过滤器似乎是理想的方法：stackoverflow.com/questions/9511462/… 过滤器可以通过属性应用于特定操作或控制器，或全局注册以在每个请求上执行。
用C# 替换了C#-7 标签，因为这似乎并不特定于编译器的v7。如果我在这方面有误，请随时撤消我的更改。
不要滥用会话状态来跟踪身份验证状态！通过这样做，您将在您的应用程序中引入一个严重的安全漏洞。在基于 asp.net（包括 mvc）的应用程序（例如 asp.net-identity）中，有许多安全（预构建/开箱即用）方法可以跟踪身份验证。
@Igor 请解释我应该注意哪些安全注意事项？你的意思是会话不安全？我可能会发生什么类型的攻击？谢谢

标签： c# asp.net asp.net-mvc asp.net-mvc-5

【解决方案1】：

您想根据您的问题在 MVC 中对用户进行身份验证和授权。您可以使用身份验证和授权过滤器对用户进行身份验证和授权。很简单，

您需要创建身份验证和授权过滤器和
那么您需要在控制器（验证该控制器中提到的所有操作方法时）或操作方法（仅验证操作方法时）上使用该过滤器作为属性。

请查看link 以检查我们如何创建身份验证和授权过滤器以及如何在代码中使用它们。

【讨论】：

【解决方案2】：

您可以创建一个BaseController 类并将其应用于您的每个MVC Controllers。您可以向其中添加通用属性和方法：

public class ControllerBase : Controller
{
    public string UniversalPath { get; set; }

    public ControllerBase()
    {          
    }
}

然后让您的 MVC page controllers 继承自您的 BaseController 而不是默认的 Controller 类：

public class ExamplePageController : ControllerBase
{
    public ActionResult Index(int id)
    {
        return View();
    }
}

【讨论】：