asp.net-mvc - 如果 Roles 为空，则使 AuthorizeAttribute 默认拒绝用户

Question

我对 AuthorizeAttribute 的默认行为感到相当惊讶;如果你不提供任何 Roles属性，它似乎只是允许任何授权用户访问 Controller /操作。我想要白名单行为；如果 Roles为空或为空，拒绝所有用户访问。我怎样才能使这种行为发生？

Answer 1

public class AuthorizeExAttribute : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        if (string.IsNullOrWhiteSpace(Roles))
            return false;
        return base.AuthorizeCore(httpContext);
    }
}

现在使用 [AuthorizeEx]在你的 Controller / Action 上