asp.net - 如何在 ASP.NET MVC 中设置整个区域的授权？

Question

我有一个管理区域，我希望只有管理员才能进入该区域。我考虑向管理区域中的每个 Controller 添加授权属性。是否有一个优雅的解决方案或者框架本身不存在此功能？

编辑:抱歉，我应该之前提到这一点。我正在使用从 AuthorizeAttribute 派生的自定义 AuthorizedAttribute。

Answer 1

基于 Web.config 的安全性几乎永远应该用在 MVC 应用程序中。原因是多个 URL 可能会访问一个 Controller ，而将这些检查放在 Web.config 中总是会遗漏一些内容。请记住 - Controller 与区域无关，路线与区域相关联。如果不存在冲突，MVC Controller 工厂将很乐意为 Areas/文件夹中的 Controller 提供非区域请求服务。

例如，使用默认的项目结构，添加带有 AdminDefaultController 的管理区域，您可以通过/Admin/AdminDefault/Index 和/AdminDefault/Index 访问此 Controller 。

唯一受支持的解决方案是将属性放在 Controller 基类上，并确保区域内的每个 Controller 都是该基类的子类。