ASP.NET MVC - Autorización dinámica

Question

Estoy construyendo un CMS simple en el que los roles se configuran dinámicamente en el panel de administración. La forma existente de autorizar un método de controlador, agregando [Authorize(Roles="admin")] por ejemplo, ya no es suficiente. La relación de rol y acción debe almacenarse en la base de datos, de modo que los usuarios finales puedan otorgar/recibir permisos hacia/desde otros en el panel de administración. ¿Cómo puedo implementar esto?

Answer 1

Eso es exactamente lo que hace el material de membresía/perfil de ASP.NET por usted. Y funciona con el atributo Autorizar.

Si desea enrollar el suyo, podría crear un filtro de acción personalizado que imite el comportamiento del filtro de acción Authorize estándar. Pseudo código a continuación.

public MyAuthorizeAttribute : ActionFilterAttribute 
{ 
    public string MyRole { get; set; } 

    public void OnActionExecuting(ControllerContext context) 
    { 
     if (!(bool)Session["userIsAuthenticated"]) 
     { 
      throw new AuthenticationException("Must log in."); 
     } 

     if (!Session["userRoles"].Contains(MyRole)) 
     { 
      throw new AuthenticationException("Must have role " + MyRole); 
     } 
    } 
} 

Answer 2

El papel - relación de acción debe ser almacena en la base de datos

Usted tendrá que comprobar su seguridad dentro del método de controlador, a menos que desee subclase AuthorizeAttribute de modo que mira hacia arriba los roles de la base de datos para usted.

Answer 3

Si desea tomar el control del proceso de autorización, debe crear la subclase AuthorizeAttribute y anular el método AuthorizeCore. Luego simplemente decore sus controladores con su CmsAuthorizeAttribute en lugar del predeterminado.

public class CmsAuthorizeAttribute : AuthorizeAttribute 
{ 
    public override virtual bool AuthorizeCore(HttpContextBase httpContext) 
    { 
     IPrincipal user = httpContext.User; 
     IIdentity identity = user.Identity; 

     if (!identity.IsAuthenticated) { 
      return false; 
     } 

     bool isAuthorized = true; 
     // TODO: perform custom authorization against the CMS 


     return isAuthorized; 
    } 
} 

La desventaja de esto es que usted no tendrá acceso a la COI ctor-inyectada, por lo que tendrá que solicitar cualquier dependencia del contenedor directamente.