c# - 授权角色组合

Question

如果需要，可以提供更多信息，请先在此处发布!

我目前正在使用标准角色授权(webpages_roles/webpages_usersinroles) 功能在 asp.net mvc4 中管理一个网站。

这在一定程度上工作得很好， Controller 中的 actionresults 被适本地用标签装饰，例如:

[Authorize(Roles = "Admin")]

或者多个角色之一可以访问的地方:

[Authorize(Roles = "Admin, Manager")]

我需要做的，是授权多个角色，是"AND"而不是"OR"的情况。例如。用户必须同时具有 "Manager" 角色和 "Finance" 角色才能访问 Controller 。只有 "Manager" 或只有 "Finance" 但不是两者都不能访问操作结果的用户。

这将如何实现？搜索结果显示人们谈论扩展授权属性，但如果有关于如何做到这一点的具体建议或更直接的建议，在这种情况下将非常有用!

Spike 的解决方案稍作修改，for each 使用 var 创建一个 char 数据类型，IsInRole 函数需要一个 string

最终代码:

public class AndAuthorize : AuthorizeAttribute
{

    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        IPrincipal user = httpContext.User;

        try
        {
            if (Roles != null && Roles.Any())
            {
                foreach (string r in Roles.Split(','))
                {
                    if (!user.IsInRole(r))
                        return false;
                }
            }
            return true;
        }
        catch (Exception ex)
        {
            return false;
        }

    }
}

Answer 1

是的，处理该问题的最佳方法是扩展 Authorize 属性。

以下是您可以对“AND”实现的授权类示例

public class AndAuthorize : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        try
        {
            if (Roles != null && Roles.Any())
            {
                foreach(var role in Roles){
                if(!httpContext.User.IsInRole(role))
                    return false;
                }
            }
            return true;
        }
        catch (Exception ex)
        {
            return false;
        }
    }
}

现在您只需设置 [AndAuthorize(Roles = "Admin, Manager")]，因为扩展授权类将使您能够访问默认属性(角色和用户)。

然后您可以将原始授权用于“OR”，将此授权用于“AND”情况