c# - ASP.NET MVC 授权具有多个角色的用户

Question

我需要将我的 ASP.NET MVC 应用程序中的 Controller 授权给具有两个角色的用户。我正在使用这样的授权属性:

[Authorize(Roles = "Producer, Editor")]

但这允许生产者和编辑者控制。我只想允许用户同时拥有这两种角色，而不仅仅是其中之一。

我怎样才能做到这一点？

Answer 1

如问题所述，当多个角色在单个 Authorize() 调用中被赋予时，如果用户属于对于列出的任何角色，他们将被授予访问权限；就像逻辑 OR 运算符。

或者，要实现逻辑 AND 运算符的效果，您可以应用 Authorize 属性多次。例如..

[Authorize(Roles = "Producer")]
[Authorize(Roles = "Editor")]
public ActionResult Details(int id) {
    // Only available to users who are Producers AND Editors
}

对于上面的示例，只有属于 Producer 和 Editor 角色的用户才能访问操作主体。

Rudi 在评论中指出，这让您可以创建一些相当复杂的访问规则，而无需实现自定义 AuthorizeAttribute。例如，在下面的代码中，用户可以执行操作，如果他们是:a) Enabled 角色和 b) Editor 或 Admin 角色。

[Authorize(Roles = "Enabled")]
[Authorize(Roles = "Editor,Admin")]
public ActionResult Details(int id) {
    // Only available to users who are Enabled AND either an Admin OR an Editor
}

我不确定是哪个版本引入了这个，但它至少在 MVC 4 和 5 中有效。