使用 ASP.NET 标识的动态访问控制

Question

也许我在 ASP.NET Identity (2.2.1) 的“文档”中的某个地方忽略了这一点，但我很难理解创建控制器和管理角色的接口的意义。我理解管理用户（CRUD + 分配角色）的意义，但就角色而言，CRUD 对我来说没有意义，除非有一种方法可以在运行时动态检测控制器的访问（IsInRole）。我有两个问题：

1] 当您必须首先在代码中配置应用程序以设置Authorize 属性以设置应具有的角色时，是否需要投入资源和时间来为角色创建 CRUD访问权限？

和

2] 有没有办法捕捉用户从控制器甚至控制器实例请求操作的时刻，以便在该点从数据库检查权限？

Answer 1

我能在 SO 上找到的最佳答案是：

Dynamically add roles to authorize attribute for controller

这正是我想要完成的工作，这证明了我为角色创建 CRUD 的设计是合理的。此时，由于我可以使用上述方法将角色动态添加到控制器，因此我可以动态创建角色，然后将其包含在控制器的要求中以加强访问。

Answer 2

1. 我发现角色非常有用。我没有装饰每个控制器，而是将角色装饰放在为站点的每个部分定义的抽象类上。然后在一个部分中使用的每个控制器都继承自该部分的抽象类。

2. 您可以使用 Http 模块并覆盖 AuthorizeRequest 事件。但我认为对每个请求进行数据库查询并不是一个好主意。角色存在于内存中，因此角色授权会非常高效。

编辑：
根据您的 cmets，您可以创建一个自定义属性来执行此操作。以下是我对如何完成的想法。在 OnAuthorization 事件中，我将为每个角色创建一个 if 块。如果用户是该角色的成员，请检查该角色是否有权访问当前控制器。该示例演示了仅针对一个名为 Admin 的角色的想法。

using System.Web.Mvc;
using System.Security.Claims;

namespace MyApp.Filters
{
    public class CustomAttribute : AuthorizeAttribute
    {
        private List<string> adminControllers;

        public CustomAttribute()
        {
            this.adminControllers = new List<string>();

            //This would be a DB call
            this.adminControllers.Add("MyApp.Controllers.AccountController");
            this.adminControllers.Add("MyApp.Controllers.AdministrationController");
        }

        public override void OnAuthorization(AuthorizationContext filterContext)
        {
            base.OnAuthorization(filterContext);

            //Get the roles for the current user
            var identity = (ClaimsIdentity)filterContext.HttpContext.User.Identity;
            var roles = identity.Claims.Where(c => c.Type == ClaimTypes.Role)
                        .Select(c => c.Value).ToList();

            //Check if current user has the Admin role
            if (roles.Contains("Admin"))
            {
                //Check if Admin role has access to current controller
                if (this.adminControllers.Contains(filterContext.Controller.ToString()))
                {
                    filterContext.Result = new RedirectResult("~/Home/Error");
                }
            }


        }
    }
}