Devo usare IAuthorizationFilter se desidero creare una risorsa limitata ApiKey con ASP.NET MVC4?

Question

Ho alcuni semplici percorsi che desidero limitare tramite un semplice parametro querystring. Se la chiave non è corretta o non è fornita, desidero lanciare un NotAuthorizedException.

Si prega di non suggerire di utilizzare WebApi o Equiv - Non posso ancora solo in questo scenario.

Quindi non sono sicuro se dovrei implementare uno IAuthorizationFilter o implementare uno IActionFilter o qualcos'altro.

La mia logica di codice?

• Controllare querystring per chiave.
• Controllare il mio RavenDb (repository) per un utente con quella chiave/valore.

Se non superano questi controlli, quindi lanciare il NotAuthorizedException.

Suppongo che quindi decorerei un mio metodo di azione con questo filtro. Sto anche assumendo che avrei bisogno di passare nel mio repository anche in questo metodo di azione?

Qualche suggerimento, per favore?

Answer 1

, quindi non sono sicuro se devo essere l'implementazione di un IAuthorizationFilter o l'implementazione di un IActionFilter o anche qualcos'altro.

Si dovrebbe essere l'implementazione di un IAuthorizationFilter:

public class MyAuthorizeAttribute: FilterAttribute, IAuthorizationFilter 
{ 
    public void OnAuthorization(AuthorizationContext filterContext) 
    { 
     var key = filterContext.HttpContext.Request.QueryString["param_name"]; 
     if (!IsValid(key)) 
     { 
      // Unauthorized! 
      filterContext.Result = new HttpUnauthorizedResult(); 
     } 
    } 

    private bool IsValid(string key) 
    { 
     // You know what to do here => go hit your RavenDb 
     // and perform the necessary checks 
     throw new NotImplementedException(); 
    } 
} 

E se si voleva utilizzare l'iniezione di dipendenza nella vostra filtro azione personalizzata si potrebbe dare un'occhiata al following article in cui è possibile implementare un provider di filtro personalizzato (IFilterProvider). Potresti avere un attributo contrassegnato che puoi utilizzare sulle azioni del controller e poi chiedere a questo fornitore di filtri personalizzati di controllare se l'azione è decorata con questo attributo marker e applicare il filtro di autorizzazione personalizzato.

Ad esempio:

public class MyAuthorizeAttribute: Attribute 
{ 

} 

e il filtro di autorizzazione implementerà solo il IAuthorizationFilter, non sarà un FilterAttribute:

public class MyAuthorizationFilter: IAuthorizationFilter 
{ 
    private readonly ISomeRepository repository; 
    public class MyAuthorizationFilter(ISomeRepository repository) 
    { 
     this.repository = repository; 
    } 

    public void OnAuthorization(AuthorizationContext filterContext) 
    { 
     var key = filterContext.HttpContext.Request.QueryString["param_name"]; 
     if (!IsValid(key)) 
     { 
      // Unauthorized! 
      filterContext.Result = new HttpUnauthorizedResult(); 
     } 
    } 

    private bool IsValid(string key) 
    { 
     // You know what to do here => go hit your RavenDb 
     // and perform the necessary checks 
     throw new NotImplementedException(); 
    } 
} 

e poi si avrà il provider filtro personalizzato:

public class MyFilterProvider : IFilterProvider 
{ 
    public IEnumerable<Filter> GetFilters(ControllerContext controllerContext, ActionDescriptor actionDescriptor) 
    { 
     if (actionDescriptor.GetCustomAttributes(typeof(MyAuthorizeAttribute), true).Any()) 
     { 
      var filter = DependencyResolver.Current.GetService<MyAuthorizationFilter>(); 
      yield return new Filter(filter, FilterScope.Global); 
     } 

     yield break; 
    } 
} 

che sarà registrato in voi r Application_Start:

FilterProviders.Providers.Add(new MyFilterProvider());