ASP.NET MVC自定義授權過濾器

更新時間：2022年03月16日 11:02:50 作者：.NET開發(fā)菜鳥

這篇文章介紹了ASP.NET MVC自定義授權過濾器的用法，文中通過示例代碼介紹的非常詳細。對大家的學習或工作具有一定的參考借鑒價值，需要的朋友可以參考下

一、授權過濾器

授權過濾器用于實現IAuthorizationFilter接口和做出關于是否執(zhí)行操作方法（如執(zhí)行身份驗證或驗證請求的屬性）的安全策略。AuthorizeAttribute類繼承了IAuthorizationFilter接口，是授權過濾器的示例。授權過濾器在任何其他過濾器之前運行。

如果要自定義授權過濾器，只需要定義一個類繼承自AuthorizeAttribute類，然后重寫AuthorizeAttribute類里面的方法即可。

二、示例

下面根據一個具體的案例來講解如何使用自定義過濾器

1、添加對應實體類

User實體類代碼如下：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;

namespace MVCCustomerFilterDemo.Models
{
    public class User
    {
        public int Id { get; set; }
        public string UserName { get; set; }
        public int RoleId { get; set; }
    }
}

Role實體類代碼如下：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;

namespace MVCCustomerFilterDemo.Models
{
    public class Role
    {
        public int Id { get; set; }
        public string RoleName { get; set; }
        public string Description { get; set; }
    }
}

RoleWithControllerAction實體類代碼如下：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;

namespace MVCCustomerFilterDemo.Models
{
    public class RoleWithControllerAction
    {
        public int Id { get; set; }
        public string ControllerName { get; set; }
        public string ActionName { get; set; }
        public string RoleIds { get; set; }
    }
}

用于展示登錄視圖的登錄用戶實體類LogOnViewModel代碼如下：

using System;
using System.Collections.Generic;
using System.ComponentModel;
using System.Linq;
using System.Web;

namespace MVCCustomerFilterDemo.Models
{
    // <summary>
    /// 用戶登錄類
    /// </summary>
    public class LogOnViewModel
    {
        /// <summary>
        /// 用戶名
        /// </summary>
        [DisplayName("用戶名")]
        public string UserName { get; set; }

        /// <summary>
        /// 密碼
        /// </summary>
        [DisplayName("密碼")]
        public string Password { get; set; }

        /// <summary>
        /// 記住我
        /// </summary>
        [DisplayName("記住我")]
        public bool RememberMe { get; set; }

    }
}

2、添加測試數據

在程序中模擬數據庫中的數據，實際使用中要去數據庫查詢，代碼如下：

using MVCCustomerFilterDemo.Models;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;

namespace MVCCustomerFilterDemo.DataBase
{
    /// <summary>
    /// 測試數據（實際項目中，這些數據應該從數據庫拿）
    /// </summary>
    public class SampleData
    {
        public static List<User> users;
        public static List<Role> roles;
        public static List<RoleWithControllerAction> roleWithControllerAndAction;

        static SampleData()
        {
            // 初始化用戶
            users = new List<User>()
            {
                new User(){ Id=1, UserName="jxl", RoleId=1},
                new User(){ Id=2, UserName ="senior1", RoleId=2},
                new User(){ Id=3, UserName ="senior2", RoleId=2},
                new User(){ Id=5, UserName="junior1", RoleId=3},
                new User(){ Id=6, UserName="junior2", RoleId=3},
                new User(){ Id=6, UserName="junior3", RoleId=3}
            };
            // 初始化角色
            roles = new List<Role>()
            {
                new Role() { Id=1, RoleName="管理員", Description="管理員角色"},
                new Role() { Id=2, RoleName="高級會員", Description="高級會員角色"},
                new Role() { Id=3, RoleName="初級會員", Description="初級會員角色"}
            };
            // 初始化角色控制器和Action對應類
            roleWithControllerAndAction = new List<RoleWithControllerAction>()
            {
                new RoleWithControllerAction(){ Id=1, ControllerName="AuthFilters", ActionName="AdminUser", RoleIds="1"},
                new RoleWithControllerAction(){ Id=2, ControllerName="AuthFilters", ActionName="SeniorUser",RoleIds="1,2"},
                new RoleWithControllerAction(){ Id=3, ControllerName="AuthFilters", ActionName="JuniorUser",RoleIds="1,2,3"},
                new RoleWithControllerAction(){ Id=3, ControllerName="AuthFilters", ActionName="Welcome",RoleIds="1,2"},
                new RoleWithControllerAction(){ Id=4, ControllerName="ActionFilters", ActionName="Index", RoleIds="2,3"},
                new RoleWithControllerAction(){ Id=4, ControllerName="ActionPremisFilters", ActionName="Index", RoleIds="2,3"}
            };
        }
    }
}

3、新建繼承類

新建一個UserAuthorize類，繼承自AuthorizeAttribute類，然后F12轉到定義查看AuthorizeAttribute代碼，代碼如下：

#region 程序集 System.Web.Mvc, Version=5.2.4.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35
// E:\Practice\過濾器\自定義權限過濾器\MVCCustomerFilterDemo\packages\Microsoft.AspNet.Mvc.5.2.4\lib\net45\System.Web.Mvc.dll
#endregion

namespace System.Web.Mvc
{
    //
    // 摘要:
    //     指定對控制器或操作方法的訪問只限于滿足授權要求的用戶。
    [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
    public class AuthorizeAttribute : FilterAttribute, IAuthorizationFilter
    {
        //
        // 摘要:
        //     初始化 System.Web.Mvc.AuthorizeAttribute 類的新實例。
        public AuthorizeAttribute();

        //
        // 摘要:
        //     獲取或設置有權訪問控制器或操作方法的用戶角色。
        //
        // 返回結果:
        //     有權訪問控制器或操作方法的用戶角色。
        public string Roles { get; set; }
        //
        // 摘要:
        //     獲取此特性的唯一標識符。
        //
        // 返回結果:
        //     此特性的唯一標識符。
        public override object TypeId { get; }
        //
        // 摘要:
        //     獲取或設置有權訪問控制器或操作方法的用戶。
        //
        // 返回結果:
        //     有權訪問控制器或操作方法的用戶。
        public string Users { get; set; }

        //
        // 摘要:
        //     在過程請求授權時調用。
        //
        // 參數:
        //   filterContext:
        //     篩選器上下文，它封裝有關使用 System.Web.Mvc.AuthorizeAttribute 的信息。
        //
        // 異常:
        //   T:System.ArgumentNullException:
        //     filterContext 參數為 null。
        public virtual void OnAuthorization(AuthorizationContext filterContext);
        //
        // 摘要:
        //     重寫時，提供一個入口點用于進行自定義授權檢查。
        //
        // 參數:
        //   httpContext:
        //     HTTP 上下文，它封裝有關單個 HTTP 請求的所有 HTTP 特定的信息。
        //
        // 返回結果:
        //     如果用戶已經過授權，則為 true；否則為 false。
        //
        // 異常:
        //   T:System.ArgumentNullException:
        //     httpContext 參數為 null。
        protected virtual bool AuthorizeCore(HttpContextBase httpContext);
        //
        // 摘要:
        //     處理未能授權的 HTTP 請求。
        //
        // 參數:
        //   filterContext:
        //     封裝有關使用 System.Web.Mvc.AuthorizeAttribute 的信息。filterContext 對象包括控制器、HTTP 上下文、請求上下文、操作結果和路由數據。
        protected virtual void HandleUnauthorizedRequest(AuthorizationContext filterContext);
        //
        // 摘要:
        //     在緩存模塊請求授權時調用。
        //
        // 參數:
        //   httpContext:
        //     HTTP 上下文，它封裝有關單個 HTTP 請求的所有 HTTP 特定的信息。
        //
        // 返回結果:
        //     對驗證狀態(tài)的引用。
        //
        // 異常:
        //   T:System.ArgumentNullException:
        //     httpContext 參數為 null。
        protected virtual HttpValidationStatus OnCacheAuthorization(HttpContextBase httpContext);
    }
}

從AuthorizeAttribute的源代碼中可以看出：里面定義了Users和Roles兩個屬性，只需要給這兩個屬性賦值，就可以控制用戶或角色訪問了。要實現自定義的驗證只需要重寫OnAuthorization和AuthorizeCore方法。所以，UserAuthorize類代碼如下：

using MVCCustomerFilterDemo.DataBase;
using MVCCustomerFilterDemo.Models;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;

namespace MVCCustomerFilterDemo.Extensions
{
    public class UserAuthorize : AuthorizeAttribute
    {
        /// <summary>
        /// 授權失敗時呈現的視圖
        /// </summary>
        public string AuthorizationFailView { get; set; }

        /// <summary>
        /// 請求授權時執(zhí)行
        /// </summary>
        public override void OnAuthorization(AuthorizationContext filterContext)
        {
            // 判斷是否已經驗證用戶
            if (!filterContext.HttpContext.User.Identity.IsAuthenticated)
            {
                // 如果沒有驗證則跳轉到LogOn頁面
                filterContext.HttpContext.Response.Redirect("/Account/LogOn");
            }

            //獲得url請求里的controller和action：
            string strControllerName = filterContext.RouteData.Values["controller"].ToString().ToLower();
            string strActionName = filterContext.RouteData.Values["action"].ToString().ToLower();

            //根據請求過來的controller和action去查詢可以被哪些角色操作:
            Models.RoleWithControllerAction roleWithControllerAction =
                SampleData.roleWithControllerAndAction.Find(r => r.ControllerName.ToLower() == strControllerName &&
                r.ActionName.ToLower() == strActionName);

            if (roleWithControllerAction != null)
            {
                //有權限操作當前控制器和Action的角色id
                this.Roles = roleWithControllerAction.RoleIds;    
            }

            base.OnAuthorization(filterContext);
        }
        /// <summary>
        /// 自定義授權檢查（返回False則授權失?。?
        /// </summary>
        protected override bool AuthorizeCore(HttpContextBase httpContext)
        {

            if (httpContext.User.Identity.IsAuthenticated)
            {
                //當前登錄用戶的用戶名
                string userName = httpContext.User.Identity.Name;
                //當前登錄用戶對象
                User user = SampleData.users.Find(u => u.UserName == userName);   

                if (user != null)
                {
                    //當前登錄用戶的角色
                    Role role = SampleData.roles.Find(r => r.Id == user.RoleId);  
                    foreach (string roleid in Roles.Split(','))
                    {
                        if (role.Id.ToString() == roleid)
                            return true;
                    }
                    return false;
                }
                else
                    return false;
            }
            else
            {
                //進入HandleUnauthorizedRequest
                return false;      
            }

        }

        /// <summary>
        /// 處理授權失敗的HTTP請求
        /// </summary>
        protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
        {
            filterContext.Result = new ViewResult { ViewName = AuthorizationFailView };
        }
    }
}

4、添加Account控制器

Account控制器里面的LogOn方法用來顯示登陸界面，控制器代碼如下：

using MVCCustomerFilterDemo.Models;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;
using System.Web.Security;

namespace MVCCustomerFilterDemo.Controllers
{
    public class AccountController : Controller
    {

        // GET: Account
        public ActionResult Index()
        {
            return View();
        }

        /// <summary>
        /// 顯示登錄視圖
        /// </summary>
        /// <returns></returns>
        public ActionResult LogOn()
        {
            LogOnViewModel model = new LogOnViewModel();
            return View(model);

        }

        /// <summary>
        /// 處理用戶點擊登錄提交回發(fā)的表單
        /// </summary>
        /// <param name="model"></param>
        /// <returns></returns>
        [HttpPost]
        public ActionResult LogOn(LogOnViewModel model)
        {
            //只要輸入的用戶名和密碼一樣就過
            if (model.UserName.Trim() == model.Password.Trim())
            {
                // 判斷是否勾選了記住我
                if (model.RememberMe)
                {
                    //2880分鐘有效期的cookie
                    FormsAuthentication.SetAuthCookie(model.UserName, true);
                }
                else
                {
                    //會話cookie
                    FormsAuthentication.SetAuthCookie(model.UserName, false);
                }
                // 跳轉到AuthFilters控制器的Welcome方法
                return RedirectToAction("Welcome", "AuthFilters");
            }
            else
            {
                return View(model);
            }

        }

        /// <summary>
        /// 注銷
        /// </summary>
        /// <returns></returns>
        public ActionResult LogOut()
        {
            Session.Abandon();
            FormsAuthentication.SignOut();
            return RedirectToAction("LogOn");
        }
    }
}

LogOn方法對應的視圖頁面代碼如下：

@model MVCCustomerFilterDemo.Models.LogOnViewModel
@{
    Layout = null;
}

<!DOCTYPE html>

<html>
<head>
    <meta name="viewport" content="width=device-width" />
    <title>LogOn</title>
</head>
<body>
    @using (Html.BeginForm())
    {
        @Html.AntiForgeryToken()

        <div class="form-horizontal">
            <h4>登錄</h4>
            <hr />
            @Html.ValidationSummary(true)

            <div class="form-group">
                @Html.LabelFor(model => model.UserName, new { @class = "control-label col-md-2" })
                <div class="col-md-10">
                    @Html.EditorFor(model => model.UserName)
                    @Html.ValidationMessageFor(model => model.UserName)
                </div>
            </div>

            <div class="form-group">
                @Html.LabelFor(model => model.Password, new { @class = "control-label col-md-2" })
                <div class="col-md-10">
                    @Html.EditorFor(model => model.Password)
                    @Html.ValidationMessageFor(model => model.Password)
                </div>
            </div>

            <div class="form-group">
                @Html.LabelFor(model => model.RememberMe, new { @class = "control-label col-md-2" })
                <div class="col-md-10">
                    @Html.EditorFor(model => model.RememberMe)
                    @Html.ValidationMessageFor(model => model.RememberMe)
                </div>
            </div>

            <div class="form-group">
                <div class="col-md-offset-2 col-md-10">
                    <input type="submit" value="登錄" class="btn btn-default" />
                </div>
            </div>
        </div>
    }
</body>
</html>

5、修改配置文件

修改配置文件，定義權限驗證失敗時跳轉的頁面，代碼如下：

<!--配置登錄頁面-->
<authentication mode="Forms">
    <forms loginUrl="~/Account/LogOn" timeout="2880" />
</authentication>

6、添加授權控制器

添加AuthFilters控制器，代碼如下：

using MVCCustomerFilterDemo.Extensions;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;

namespace MVCCustomerFilterDemo.Controllers
{
    public class AuthFiltersController : Controller
    {
        // GET: AuthFilters
        public ActionResult Index()
        {
            return View();
        }

        /// <summary>
        /// 使用自定義的授權驗證，登錄成功就可以訪問
        /// </summary>
        /// <returns></returns>
        [Authorize]
        public ActionResult Welcome()
        {
            return View();
        }
        [UserAuthorize(AuthorizationFailView = "Error")]
        public ActionResult AdminUser()
        {
            ViewBag.Message = "管理員頁面";
            return View("Welcome");
        }

        /// <summary>
        /// 會員頁面（管理員、會員都可訪問）
        /// </summary>
        /// <returns></returns>
        [Authorize]
        [UserAuthorize(AuthorizationFailView = "Error")]   
        public ActionResult SeniorUser()
        {
            ViewBag.Message = "高級會員頁面";
            return View("Welcome");
        }

        /// <summary>
        /// 游客頁面（管理員、會員、游客都可訪問）
        /// </summary>
        /// <returns></returns>
        [Authorize]
        [UserAuthorize(AuthorizationFailView = "Error")]   
        public ActionResult JuniorUser()
        {
            ViewBag.Message = "初級會員頁面";
            return View("Welcome");
        }
    }
}

三、測試

測試Welcome

Welcome這個Action使用了默認的授權驗證，只要登錄成功就能訪問。

URL地址欄里面輸入：http://localhost:****/AuthFilters/Welcome，會跳轉到登錄頁面，如圖所示：

然后輸入相同的用戶名和密碼，點擊登錄，會顯示Welcome對應的頁面：

在看一下SampleData中，角色為1,2的也可以訪問Welcome方法，用角色1訪問Welcome：

點擊登錄：

從上面的截圖中看出：senior1登錄成功了，senior1是角色2，證明角色1、2可以訪問Welcome方法。在使用junior2登錄名訪問Welcome方法：

由于junior2的角色是3，而角色3沒有訪問Welcome方法的權限，所以會跳轉到Error頁面：

四、總結

Welcome這個Action使用了默認的授權驗證，只要登陸成功就可以訪問。其他幾個Action上都標注了自定義的UserAuthorize，并沒有標注Users="...."，Roles="....."，因為這樣在Action上寫死用戶或者角色控制權限顯然是不可行的，用戶和角色的對應以及不同的角色可以操作的Action應該是從數據庫里取出來的。為了演示就在SampleData類里初始化了一些用戶和角色信息，根據SampleData類的定義，很明顯jxl擁有1號管理員角色，可以訪問AuthFilters這個控制器下的所有Action；senior1、senior2擁有2號高級會員的角色，可以訪問AuthFilters這個控制器下除了AdminUser之外的Action等等。
再次登陸下，就發(fā)現擁有高級會員角色的用戶senior1是不可以訪問AdminUser這個Action，會被帶到AuthorizationFailView屬性指定的Error視圖。

GitHub代碼地址：https://github.com/jxl1024/MVCCustomerFilterDemo

到此這篇關于ASP.NET MVC自定義授權過濾器的文章就介紹到這了。希望對大家的學習有所幫助，也希望大家多多支持腳本之家。

您可能感興趣的文章:

如何在ASP.NET Core 的任意類中注入Configuration
這篇文章主要介紹了如何在 ASP.NET Core 的任意類中注入Configuration ,幫助大家更好的理解和學習使用.net技術，感興趣的朋友可以了解下
2021-04-04
asp.net mvc signalr簡單聊天室制作過程分析
這篇文章主要為大家分析了asp.net mvc signalr簡單聊天室制作過程,具有一定的參考價值，感興趣的小伙伴們可以參考一下
2016-09-09
asp.net下利用JS實現對后臺CS代碼的調用方法
asp.net下利用JS實現對后臺CS代碼的調用方法...
2007-04-04
前臺JS(jquery ajax)調用后臺方法實現無刷新級聯(lián)菜單示例
前臺用AJAX直接調用后臺方法，老有人發(fā)帖提問，沒事做個示例詳細介紹一下，感興趣的朋友可以參考下
2013-01-01
ASP.NET Core依賴注入系列教程之控制反轉（IoC）
這篇文章主要給大家介紹了關于ASP.NET Core依賴注入系列教程之控制反轉（IoC）的相關資料，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧
2018-11-11
關于vs2005、vs2008和vs2010項目互轉的總結
有做.net的程序員和朋友曾經問過我，關于vs2005和vs2008、vs2008和vs2010、vs2005和vs2010項目互轉的問題,特整理下分享給大家
2012-04-04
.NET?實現啟動時重定向程序運行路徑及?Windows?服務運行模式部署的方法
這篇文章主要介紹了.NET?實現啟動時重定向程序運行路徑及?Windows?服務運行模式部署,本文給大家介紹的非常詳細，對大家的學習或工作具有一定的參考借鑒價值，需要的朋友可以參考下
2022-09-09
aspx 中文漢字顯示為亂碼
要保證文件本身為utf-8編碼格式。 .cs文件也是一樣。
2008-12-12
詳解ASP.NET驗證碼的生成方法
這篇文章主要為大家詳細介紹了ASP.NET驗證碼的生成方法，以及ASP.NET生成驗證碼的實現步驟和思路，感興趣的小伙伴們可以參考一下
2016-05-05
.NET 資源文件resx、Resources詳細說明
和大家講一下.net對資源文件的使用做一下說明，希望本文對你有所幫助。
2010-03-03

亚洲乱码中文字幕综合,中国熟女仑乱hd,亚洲精品乱拍国产一区二区三区,一本大道卡一卡二卡三乱码全集资源,又粗又黄又硬又爽的免费视频

軟件下載

源碼下載

軟件編程

網絡編程

在線工具

數據庫

CMS

常用工具

ASP.NET MVC自定義授權過濾器

目錄

一、授權過濾器

二、示例

1、添加對應實體類

2、添加測試數據

3、新建繼承類

4、添加Account控制器

5、修改配置文件

6、添加授權控制器

三、測試

測試Welcome

四、總結

相關文章

最新評論

大家感興趣的內容

最近更新的內容

常用在線小工具

ASP.NET MVC自定義授權過濾器

目錄

一、授權過濾器

二、示例

1、添加對應實體類

2、添加測試數據

3、新建繼承類

4、添加Account控制器

5、修改配置文件

6、添加授權控制器

三、測試

測試Welcome

四、總結

相關文章

最新評論

大家感興趣的內容

最近更新的內容

常用在線小工具

一、授權過濾器

二、示例

1、添加對應實體類

2、添加測試數據

3、新建繼承類

4、添加Account控制器

三、測試

四、總結