ASP.NET MVC - Autorizzazione dinamica

Question

Sto costruendo un semplice CMS in cui i ruoli sono impostati dinamicamente nel pannello di amministrazione. Il modo esistente di autorizzare un metodo di controllo, ad esempio [Authorize(Roles="admin")], non è più sufficiente. La relazione ruolo-azione deve essere memorizzata nel database, in modo che gli utenti finali possano facilmente dare/prendere le autorizzazioni a/da altri nel pannello di amministrazione. Come posso implementarlo?

Answer 1

Questo è esattamente ciò che fanno le cose ASP.NET/profilo per te. E funziona con l'attributo Authorize.

Se si desidera eseguire il rollover, è possibile creare un filtro di azioni personalizzato che riproduca il comportamento del filtro di azione Autorizza standard. Pseudo codice qui sotto.

public MyAuthorizeAttribute : ActionFilterAttribute 
{ 
    public string MyRole { get; set; } 

    public void OnActionExecuting(ControllerContext context) 
    { 
     if (!(bool)Session["userIsAuthenticated"]) 
     { 
      throw new AuthenticationException("Must log in."); 
     } 

     if (!Session["userRoles"].Contains(MyRole)) 
     { 
      throw new AuthenticationException("Must have role " + MyRole); 
     } 
    } 
} 

Answer 2

Il ruolo - rapporto azione deve essere memorizzato nel database

Si dovrà verificare la sicurezza all'interno del metodo di controllo, a meno che non si desidera sottoclasse AuthorizeAttribute modo che si guarda in alto i ruoli dal database per te.

Answer 3

Se si desidera assumere il controllo del processo di autorizzazione, è necessario creare sottoclasse AuthorizeAttribute e sovrascrivere il metodo AuthorizeCore. Quindi semplicemente decorare i controller con il tuo CmsAuthorizeAttribute invece del valore predefinito.

public class CmsAuthorizeAttribute : AuthorizeAttribute 
{ 
    public override virtual bool AuthorizeCore(HttpContextBase httpContext) 
    { 
     IPrincipal user = httpContext.User; 
     IIdentity identity = user.Identity; 

     if (!identity.IsAuthenticated) { 
      return false; 
     } 

     bool isAuthorized = true; 
     // TODO: perform custom authorization against the CMS 


     return isAuthorized; 
    } 
} 

L'aspetto negativo di questo è che non si avrà accesso a ctor-iniettato CIO, quindi dovrete richiedere eventuali dipendenze dal contenitore direttamente.