ASP MVC：在实现 ASP MVC 安全性时感到困惑

Question

我正在实现 ASP MVC 应用程序的安全部分，我对如何实现自定义成员资格提供程序感到困惑，因为似乎有很多我不会使用的功能。

我要移植的应用程序通常通过存储在名为“SecurityManager”的会话中的对象来管理安全性，该对象包含当前用户和表单权限集合。此集合的每个项目都包含登录用户的每个表单的权限和该表单的每个字段的权限（如果假设没有完全控制表单，则需要它们）。

但是，当我看到 MembershipProvider 和 AuthorizeAttribute 标签的方法时，他们假设我将使用我的应用程序不使用的角色，我们只有权限组，这些权限组只是针对某些用户组组合在一起的权限，但它们往往会随时间变化。

所以基本上我唯一需要的是在发出请求时检查安全管理器是否存储在会话中（如果不是，则用户未经过身份验证并将被重定向到登录页面）和然后从会话中获取该对象并对其执行操作以了解用户是否可以访问该视图。

最好的方法是什么？我读过绕过自定义成员资格不是一个好主意。

Answer 1

更新：我最近遇到了这个问题，并想出了如何使用AuthorizeAttribute 来完全按照您的意愿行事。我的属性用于验证用户是否为管理员，其工作原理如下：

public class AuthorizeAdminAttribute : AuthorizeAttribute
{
    public bool IsValidUser { get; protected set; }

    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        if (httpContext == null) { throw new ArgumentNullException("httpContext"); }

        // Make sure Forms authentication shows the user as authenticated
        if (httpContext.User.Identity.IsAuthenticated == false) return false;

        // Retrieve the unit of work from Windsor, and determine if the current user is an admin
        var unitOfWork = Bootstrapper.WindsorContainer.Resolve<IUnitOfWork>();
        var user = new UserByIdQuery(unitOfWork).WithUserId((int)Membership.GetUser().ProviderUserKey).Execute();

        if (user == null)
            return false;

        // Otherwise the logged in user is a real user in the system
        IsValidUser = true;

        return user.IsAdmin;
    }

    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        if (filterContext == null) { throw new ArgumentNullException("filterContext"); }

        // If this user is a valid user but not an admin, redirect to the homepage
        if (IsValidUser)
        {
            // Redirect them to the homepage
            filterContext.Result = new RedirectToRouteResult(new RouteValueDictionary
            {
                { "area", "" },
                { "action", "Index" },
                { "controller", "Home" }
            });
        }
        else
        {
            // User isn't logged in, perform normal operations
            base.HandleUnauthorizedRequest(filterContext);
        }
    }
}

基本上，您必须使用AuthorizeCore() 来确定用户是否已登录，存储该结果，然后对系统中的角色执行授权。然后在您的HandleUnauthorizedRequest 中，您必须确定该请求是否因为用户未登录而未经授权，或者是因为他们未获得授权。

---

旧答案 我通过创建AuthorizeAttribute 类的子类来完成使用Authorize 属性。例如：

public class MyCustomAuthorizeAttribute : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        if (httpContext == null) { throw new ArgumentNullException("httpContext"); }

        // Make sure Forms authentication shows the user as authenticated
        if (httpContext.User.Identity.IsAuthenticated == false) return false;

        // replace with whatever code you need to call to determine if the user is authorized
        return IsUserAuthorized();
    }
}

现在，当调用控制器或操作并使用[MyCustomAuthorize] 装饰时，它将运行此代码以确定用户是否根据您的自定义逻辑获得授权，如果没有，则将它们重定向到[Authorize] 属性的确切方式会的。

我不知道这是否是最好的方法，但这是我想出的。