Autoryzuj atrybut z wieloma rolami

Question

Chciałbym dodać autoryzację do kontrolera, dla wielu ról naraz.

Normalnie, że będzie wyglądać następująco:

[Authorize(Roles = "RoleA,RoleB,RoleC")] 
public async Task<ActionResult> Index() 
{ 
} 

Ale mam przechowywać swoje role w consts, ponieważ mogą one zmienić lub zostać przedłużony w pewnym momencie.

public const RoleA = "RoleA"; 
public const RoleB = "RoleB"; 
public const RoleC = "RoleC"; 

Nie mogę tego zrobić, ponieważ łańcuch musi być znany w czasie kompilacji:

[Authorize(Roles = string.join(",",RoleA,RoleB,RoleC)] 
public async Task<ActionResult> Index() 
{ 
} 

czy jest jakiś sposób na obejście tego problemu?

Mogę napisać const, który po prostu zawiera "RoleA, RoleB, RoleC" - ale nie lubię magicznych ciągów znaków i jest to magiczny ciąg znaków. Zmiana nazwy roli i zapomnienie zmiany połączonego ciągu byłoby katastrofą.

Używam MVC5. Identyfikacja ASP.NET i rola są znane w czasie kompilacji.

Answer 1

Spróbuj utworzyć niestandardowy atrybut autoryzacji, taki jak this.

public class AuthorizeRolesAttribute : AuthorizeAttribute 
{ 
    public AuthorizeRolesAttribute(params string[] roles) : base() 
    { 
     Roles = string.Join(",", roles); 
    } 
} 

Zakładając swoje role będą takie same dla wielu kontrolerów, utworzyć klasy pomocnika:

public static class Role 
{ 
    public const string Administrator = "Administrator"; 
    public const string Assistant = "Assistant"; 
} 

następnie używać go tak:

public class MyController : Controller 
{ 
    [AuthorizeRoles(Role.Administrator, Role.Assistant)] 
    public ActionResult AdminOrAssistant() 
    {      
     return View(); 
    } 
} 

Answer 2

Upewnij się, że w coraz większym stopniu swój zwyczaj klasa atrybutu wyłączona System.Web.Mvc.AuthorizeAttribute i NOT System.Web.Http.AuthorizeAttribute.

Wpadłem na ten sam problem. Kiedy to zmieniłem, wszystko działało.

Można również dodać następujące do niestandardowej klasy atrybutu:

[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, Inherited = true, AllowMultiple = true)] 

Answer 3

Nie wiem dlaczego wszyscy przyjął tę odpowiedź. Zrobiłem dokładnie tak, jak wspomniałem i teraz to nie robi absolutnie żadnego sprawdzania autoryzacji. Anonimowi użytkownicy mogą teraz łączyć się z każdą metodą ozdobioną tym niestandardowym atrybutem ... Najlepszym i najprostszym sposobem rozwiązania tego problemu jest po prostu połączenie ról w atrybucie Autoryzuj.

[Authorize(Roles = CustomRoles.Admin + "," + CustomRoles.OtherRole)] 

z CustomRole klasa ze stałych ciągów tak:

public static class CustomRoles 
{ 
    public const string Admin = "Admin"; 
    // and so on.. 
} 

Answer 4

czuję się jak atrybut niestandardowy autoryzacji jest przesadą dla tej kwestii, chyba że masz dużą ilość ról.

Ponieważ łańcuch musi być znany w czasie kompilacji, dlaczego nie zrobić statyczną klasę roli, która zawiera ciągi publiczne role zostały zdefiniowane, a następnie dodać oddzielonych przecinkami ciągi z pewnych ról, które chcesz zezwolić na:

public static class Roles 
{ 
    public const string ADMIN = "Admin"; 
    public const string VIEWER = "Viewer"; 

    public const string ADMIN_OR_VIEWER = ADMIN + "," + VIEWER; 
} 

a następnie można użyć atrybutu Autoryzuj tak jak w klasie kontrolera lub metoda sterowania (lub oba):

[Authorize(Roles = Roles.ADMIN] 
public class ExampleController : Controller 
{ 
    [Authorize(Roles = Roles.ADMIN_OR_VIEWER) 
    public ActionResult Create() 
    { 
     ..code here... 
    } 
} 

Answer 5

co zrobiłem jest odpowiedzią na @Tieson

Poprawiam trochę w jego odpowiedzi. Zamiast string.Join dlaczego nie przekonwertować go do listy?

Oto moja odpowiedź:

public class AuthorizeRolesAttribute : AuthorizeAttribute 
{ 
    private new List<string> Roles; 
    public AuthorizeRolesAttribute(params string[] roles) : base() 
    { 
     Roles = roles.toList() 
    } 
} 

a następnie sprawdzić, czy rola jest ważna nadpisywanie OnAuthorization

public override void OnAuthorization(HttpActionContext actionContext) 
{ 
      if (Roles == null) 
       HandleUnauthorizedRequest(actionContext); 
      else 
      { 
       ClaimsIdentity claimsIdentity = HttpContext.Current.User.Identity as ClaimsIdentity; 
       string _role = claimsIdentity.FindFirst(ClaimTypes.Role).Value; 
       bool isAuthorize = Roles.Any(role => role == _role); 

       if(!isAuthorize) 
        HandleUnauthorizedRequest(actionContext); 
      } 
     } 

I tam masz, to jest teraz stwierdzenia prawidłowości jeśli rola jest upoważniony do uzyskać dostęp do zasobów