rest - 基于权限的 WebApi 端点的上下文序列化

Question

我正在使用 Asp.Net Web Api。我希望能够根据连接的客户端访问权限过滤掉响应对象上的某些字段。

例子:

class Foo
{
    [AccessFilter("Uberlord")]
    string Wibble { get; set; }

    string Wobble { get; set; }
}

返回数据时归档 Wibble仅当当前用户上下文可以满足“Uberlord”的值时才应返回。

我正在探索三种途径，但我没有找到可行的解决方案:

自定义 WebApi MediaTypeFormatter。

自定义 json.net IContractResolver。

某种类型的 AOP 包装器，用于操纵响应对象的 Controller

我的问题是:

自定义格式化程序感觉不是正确的地方，但可能是唯一的选择。

自定义 json 序列化程序无法访问当前上下文，所以我必须解决这个问题。

使用前两个选项，您需要针对每种响应格式、json、xml、某些自定义格式等进行特定的实现。这意味着如果支持另一种响应类型，则需要自定义格式化程序/序列化程序来防止敏感数据泄漏。

AOP Controller 包装器需要大量反射。

另一个好处是使用相同的机制从入站请求对象的字段中删除值。

我错过了一个明显的钩子(Hook)吗？这是否已通过其他方式解决？

Answer 1

它实际上比我最初想象的要简单得多。我没有意识到 DelegatingHandler 可用于操纵响应以及 Web Api Pipeline 中的请求.
Lifecycle of an ASP.NET Web API Message

Delegating Handler

---

Delegating handlers are an extensibility point in the message pipeline allowing you to massage the Request before passing it on to the rest of the pipeline. The response message on its way back has to pass through the Delegating Handler as well, so any response can also be monitored/filtered/updated at this extensibility point.

Delegating Handlers if required, can bypass the rest of the pipeline too and send back and Http Response themselves.

例子
这是 DelegatingHandler 的示例实现，它可以操作响应对象或完全替换它。

public class ResponseDataFilterHandler : DelegatingHandler
{
    protected override System.Threading.Tasks.Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        return base.SendAsync(request, cancellationToken)
            .ContinueWith(task =>
            {
                var response = task.Result;

                //Manipulate content here
                var content = response.Content as ObjectContent;
                if (content != null && content.Value != null)
                {
                    ((SomeObject)content.Value).SomeProperty = null;
                }

                //Or replace the content
                response.Content = new ObjectContent(typeof(object), new object(), new JsonMediaTypeFormatter());

                return response;
            });
    }
}

有关如何实现委托(delegate)处理程序并将其添加到管道的 Microsoft 文章。 HTTP Message Handlers in ASP.NET Web API