Пользовательский атрибут авторизации ASP.NET MVC 4 с кодами разрешений (без ролей)

121

Мне нужно контролировать доступ к представлениям на основе уровней привилегий пользователей (нет ролей, только уровни привилегий для уровней операций CRUD, назначенных пользователям) в моем приложении MVC 4.

Например; ниже AuthorizeUser будет мой настраиваемый атрибут, и мне нужно использовать его следующим образом:

[AuthorizeUser(AccessLevels="Read Invoice, Update Invoice")]
public ActionResult UpdateInvoice(int invoiceId)
{
   // some code...
   return View();
}


[AuthorizeUser(AccessLevels="Create Invoice")]
public ActionResult CreateNewInvoice()
{
  // some code...
  return View();
}


[AuthorizeUser(AccessLevels="Delete Invoice")]
public ActionResult DeleteInvoice(int invoiceId)
{
  // some code...
  return View();
}

Можно ли так сделать?

Чатура
источник

Ответы:

243

Я мог бы сделать это с помощью специального атрибута следующим образом.

[AuthorizeUser(AccessLevel = "Create")]
public ActionResult CreateNewInvoice()
{
    //...
    return View();
}

Настраиваемый класс атрибутов следующим образом.

public class AuthorizeUserAttribute : AuthorizeAttribute
{
    // Custom property
    public string AccessLevel { get; set; }

    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        var isAuthorized = base.AuthorizeCore(httpContext);
        if (!isAuthorized)
        {                
            return false;
        }

        string privilegeLevels = string.Join("", GetUserRights(httpContext.User.Identity.Name.ToString())); // Call another method to get rights of the user from DB

        return privilegeLevels.Contains(this.AccessLevel);           
    }
}

Вы можете перенаправить неавторизованного пользователя в свой кастом AuthorisationAttribute, переопределив HandleUnauthorizedRequestметод:

protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
{
    filterContext.Result = new RedirectToRouteResult(
                new RouteValueDictionary(
                    new
                        { 
                            controller = "Error", 
                            action = "Unauthorised" 
                        })
                );
}
Чатура
источник
Я пробовал ваш пример HandleUnauthorizedRequest, но когда я указываю RouteValueDictionary, он просто перенаправляет мне маршрут, которого не существует. Он добавляет маршрут, на который я хочу перенаправить пользователя, к маршруту, к которому пользователь хотел получить доступ ... si Я получаю что-то вроде: localhost: 9999 / admin / Home, когда мне нужен localhost: 9999 / Home
Marin
1
@Marin Попробуйте добавить area = string.Empty в RouteValueDictionary
Alex
30
Я поддерживал голосование, но потом увидел «if (condition) {return true;} else {return false;}» в конце ....
GabrielBB
1
@Emil Я бы просто вернул логическое значение, которое мне дал метод String.Contains. Но это не имеет значения, я не голосовал против, я просто не голосовал за хе-хе.
GabrielBB
2
.Name.ToString()является избыточным, поскольку Nameсвойство уже является строкой
FindOutIslamNow
13

Вот модификация пред. ответ. Основное отличие состоит в том, что когда пользователь не аутентифицирован, он использует оригинальный метод HandleUnauthorizedRequest для перенаправления на страницу входа:

   protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {

        if (filterContext.HttpContext.User.Identity.IsAuthenticated) {

            filterContext.Result = new RedirectToRouteResult(
                        new RouteValueDictionary(
                            new
                            {
                                controller = "Account",
                                action = "Unauthorised"
                            })
                        );
        }
        else
        {
             base.HandleUnauthorizedRequest(filterContext);
        }
    }
Леонид Миньков
источник
3

Возможно, это пригодится кому-нибудь в будущем, я реализовал настраиваемый атрибут авторизации следующим образом:

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, AllowMultiple = true, Inherited = true)]
public class ClaimAuthorizeAttribute : AuthorizeAttribute, IAuthorizationFilter
{
    private readonly string _claim;

    public ClaimAuthorizeAttribute(string Claim)
    {
        _claim = Claim;
    }

    public void OnAuthorization(AuthorizationFilterContext context)
    {
        var user = context.HttpContext.User;
        if(user.Identity.IsAuthenticated && user.HasClaim(ClaimTypes.Name, _claim))
        {
            return;
        }

        context.Result = new ForbidResult();
    }
}
RaphaelH
источник
0

Если вы используете WEB API с утверждениями, вы можете использовать это:

[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, Inherited = true, AllowMultiple = true)]
public class AutorizeCompanyAttribute:  AuthorizationFilterAttribute
{
    public string Company { get; set; }

    public override void OnAuthorization(HttpActionContext actionContext)
    {
        var claims = ((ClaimsIdentity)Thread.CurrentPrincipal.Identity);
        var claim = claims.Claims.Where(x => x.Type == "Company").FirstOrDefault();

        string privilegeLevels = string.Join("", claim.Value);        

        if (privilegeLevels.Contains(this.Company)==false)
        {
            actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized, "Usuario de Empresa No Autorizado");
        }
    }
}
[HttpGet]
[AutorizeCompany(Company = "MyCompany")]
[Authorize(Roles ="SuperAdmin")]
public IEnumerable MyAction()
{....
}
Маурико Белло
источник