Asp.net mvc 身份。限制认证的逻辑

Question

假设，我有两个模型：

class Customer {
    public GUID CustomerID { get; set; }
    public IEnumerable<User> SubscribedUsers { get; set; }
    //other fields
}

和

class User {
    public GUID UserID { get; set; }
    //other fields
}

我想用 ASP.NET Identity 来实现 BL 以限制授权：如果用户在 SubscribedUsers - 访问被授予否则 - 被拒绝。

我不要求你为我实现它。只需给我最佳实践，我该怎么做，我可以在哪里找到这个业务逻辑的包装......

我想我必须实现自定义OAuthAuthorizationServerProvider，是吗？

Answer 1

我认为最简单的方法是添加一个新的声明 (https://docs.microsoft.com/en-us/aspnet/core/security/authorization/claims)。将其称为 SubscribedOnly 并将此声明添加到指定用户 (How to add claims in ASP.NET Identity)

一般来说，在您尝试覆盖某些内容之前，我会尝试找到一种内置的可能性来解决您的问题。

授权逻辑将放置在您的控制器中。您可以将此属性 [Authorize] 放在您的 Controller 顶部（这意味着每个 ActionMethod 只对登录用户可用）或放在每个 ActionMethod 的顶部，访问应该受到保护。

使用此属性对于各种实现来说非常简单直接！！

如果您正在寻找了解身份或自定义身份的好资源，我会推荐 John Attens 博客：http://johnatten.com/?s=identity