c# - 使用 AuthorizeAttribute 保护 MVC4

Question

我一直在学习如何保护 asp.net MVC4 应用程序，但有些事情让我对 AuthorizeAttribute

的使用感到困惑

(很好地解释了保护 MVC 的博客之一是 this one)

要默认锁定所有 Controller ，将 AuthorizeAttribute 添加到 RegisterGlobalFilters

public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
    filters.Add(new HandleErrorAttribute());
    filters.Add(new System.Web.Mvc.AuthorizeAttribute());
}

但我也看到了在 global.asax 文件中完成类似操作的示例:

GlobalConfiguration.Configuration.Filters.Add(new System.Web.Http.AuthorizeAttribute());

我知道第一个语句是锁定 MVC Controller ，第二个语句是锁定 WebAPI Controller ，但是什么时候需要第二个语句？如果我不构建 WebApi Controller ，第二个语句是否仍然必要？

Answer 1

I understand that the first statement is to lock down the MVC controllers and the second is to lock down the WebAPI controllers....If I'm not building WebApi controllers, is the second statement still necessary?

我认为这是其中一个问题，在内心深处你知道答案，但想要一个明确的答案......所以在这里 - 不。