MVC自定义AuthorizeAttribute实现权限管理

一、前言

在实际开发中，权限管理是一个不可避免的需求。MVC框架提供了AuthorizeAttribute来实现权限控制，但是仅仅使用默认的AuthorizeAttribute并不能满足所有的需求，本文将介绍如何自定义AuthorizeAttribute以实现更加灵活的权限控制。本文将从以下几个方面进行介绍：1、AuthorizeAttribute的基本使用；2、AuthorizeAttribute的源码解析；3、自定义AuthorizeAttribute的实现；4、案例说明。

二、AuthorizeAttribute的基本使用

使用AuthorizeAttribute可以轻松实现权限控制，只需将AuthorizeAttribute标记在Controller或Action上即可。

示例代码：

```c#

[Authorize(Roles = "管理员")]

public class UserController : Controller

{

public ActionResult Index()

{

return View();

}

}

```

在示例代码中，通过设置Roles属性实现了只有“管理员”角色的用户才能访问UserController。

设置AuthorizeAttribute还可以使用其他属性，如下：

- Roles：符合要求的用户角色。

- Users：符合要求的用户。

- AuthenticationSchemes：授权的策略。

三、AuthorizeAttribute的源码解析

AuthorizeAttribute继承自Attribute类，并实现了IAuthorizationFilter和IActionFilter接口。在过滤器链中，一般情况下AuthorizeAttribute应在ActionFilter执行之前执行，因此AuthorizeAttribute优先级应该为-1。

在调用AuthorizeCore方法时，AuthorizeAttribute判断是否允许访问。如果允许访问，返回true；否则，返回false。如果返回false，则调用HandleUnauthorizedRequest方法，用于处理未授权访问请求。

示例代码：

```

protected virtual bool AuthorizeCore(HttpContextBase httpContext)

{

if (httpContext == null)

{

throw new ArgumentNullException("httpContext");

}

IPrincipal user = httpContext.User;

if (!user.Identity.IsAuthenticated)

{

return false;

}

if (Roles != null && Roles.Length > 0 && !Roles.Split(',').Any(user.IsInRole))

{

return false;

}

if (Users != null && Users.Length > 0 && !Users.Split(',').Any(u => u.Equals(user.Identity.Name, StringComparison.OrdinalIgnoreCase)))

{

return false;

}

return true;

}

protected virtual void HandleUnauthorizedRequest(AuthorizationContext filterContext)

{

// 省略实现

}

```

四、自定义AuthorizeAttribute的实现

在实际开发中，我们可能需要根据自己的需求对AuthorizeAttribute进行自定义实现。自定义AuthorizeAttribute需要继承自AuthorizeAttribute类，并重写AuthorizeCore和HandleUnauthorizedRequest方法。在重写AuthorizeCore方法时，需要根据实际情况实现授权逻辑。

示例代码：

```c#

public class CustomAuthorizeAttribute : AuthorizeAttribute

{

protected override bool AuthorizeCore(HttpContextBase httpContext)

{

if (httpContext == null)

{

throw new ArgumentNullException("httpContext");

}

IPrincipal user = httpContext.User;

if (!user.Identity.IsAuthenticated)

{

return false;

}

// 在这里实现自定义的授权逻辑

return CustomAuthorize(user);

}

protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)

{

// 在这里实现自定义的未授权访问请求的处理逻辑

}

private bool CustomAuthorize(IPrincipal user)

{

// 根据实际情况实现自定义的授权逻辑

return true;

}

}

```

五、案例说明

假设我们的网站有以下角色：

- 管理员

- 编辑员

- 普通用户

其中，管理员可以访问全部内容，编辑员可以对内容进行修改，普通用户只能查看内容。为了实现这些权限控制，我们可以自定义AuthorizeAttribute，如下：

```c#

public class CustomAuthorizeAttribute : AuthorizeAttribute

{

public string[] AllowRoles { get; set; }

public override void OnAuthorization(AuthorizationContext filterContext)

{

if (!filterContext.HttpContext.User.Identity.IsAuthenticated)

{

filterContext.Result = new RedirectResult("/Account/Login");

return;

}

if (AllowRoles == null)

{

AllowRoles = new string[] { };

}

bool allow = false;

foreach (var role in AllowRoles)

{

if (filterContext.HttpContext.User.IsInRole(role))

{

allow = true;

break;

}

}

if (!allow)

{

filterContext.Result = new RedirectResult("/Account/NoPermission");

return;

}

base.OnAuthorization(filterContext);

}

}

```

在CustomAuthorizeAttribute中，重写了OnAuthorization方法。在OnAuthorization方法中，实现了自定义的权限控制逻辑。如果用户未登录，则跳转到登录页面；如果用户不属于允许的角色，则跳转到无权限页面；否则，允许访问。

下面是CustomAuthorizeAttribute的使用示例：

```c#

[CustomAuthorize(AllowRoles = new string[] { "管理员" })]

public class UserController : Controller

{

public ActionResult Index()

{

return View();

}

}

```

在示例代码中，通过设置AllowRoles属性为“管理员”实现了只有管理员角色的用户才能访问UserController。

六、总结

通过自定义AuthorizeAttribute，我们可以实现更加灵活的权限控制。自定义AuthorizeAttribute需要继承自AuthorizeAttribute类，并重写AuthorizeCore和HandleUnauthorizedRequest方法。在重写AuthorizeCore方法时，需要根据实际情况实现授权逻辑。在实际使用中，我们可以根据不同的需求，自定义AuthorizeAttribute并使用。 如果你喜欢我们三七知识分享网站的文章， 欢迎您分享或收藏知识分享网站文章 欢迎您到我们的网站逛逛喔！https://www.37seo.cn/