本示例演示了在ASP.NET MVC中进行基于URL的权限控制，由于是基于URL进行控制的，所以只能精确到页。这种权限控制的优点是可以在已有的项目上改动极少的代码来增加权限控制功能，和项目本身的耦合度低，并且实现起来也比较简单。缺点是权限控制不够精确，不能具体到某一具体的按钮或者某一功能。
在数据库中新建2个表。PermissionItem表用于保存权限ID和页面路径的关系，一个权限ID可以有多个页面，一般同一个权限ID下的页面是为了实现同一个功能。PermissionList表用于保存用户所具有的权限。
数据库中的示例表示Page1和Page4同属于权限1，Page2和Page5同属于权限2，Page3属于权限3。用户ID为1的用户具有权限2和3。
在ASP.NET MVC项目中新建一个AccountHelper类，这是一个辅助类。GetPermissionItems方法用于获取权限ID和页面路径的对应关系。这是全局的，并且每个用户在访问页面时都会用到这些信息，所以存入Cache中。数据库的相关操作这里使用的是ADO.NET Entity Framework。
GetUserPermission方法是将用户所具有的权限ID保存到一个一维Int32数组中。这个信息每个用户是不同的，但是会经常使用到，所以存入Session。
再新建一个UrlAuthorizeAttribute类，继承自AuthorizeAttribute，这是一个Filter。我们重写它的OnAuthorization方法，以在ASP.NET页生命周期身份验证阶段执行它。
至此，主要的工作都已经完成了的。接下来我们只需要在需要进行权限控制的Action或Controller前加上[UrlAuthorize]，这些Action或Controller中的所有Actions就会自动被UrlAuthorize这个Filter进行处理。如果某一个Action被标上了[UrlAuthorize]，而数据库中又不存在该页面对应的权限ID，那么根据示例的代码，所有用户都将无法访问这个页面，如果需要更改这个设置，可以修改上面“注1”下面的2行代码。