MVC C# 阻止普通用户访问管理控制 URL - 无角色

Question

现在，我的用户表有一个名为 Admin 的布尔值。如代码所示，如​​果 user.admin = true，用户可以看到管理区域按钮并访问它。

    @if (Common.UsuarioLogueado.Admin) {
                                <li><a href="@Url.Action("List","ClientesAdmin",new { Area = "Admin" })">Admin control panel</a></li>
                            }

这是按预期工作的。但是，非管理员用户仍然可以通过访问它的 url http://localhost/appName/admin/ClientesAdmin/list 来访问控制面板

我该如何防止这样的事情发生？我正在考虑显示错误消息

Answer 1

与其他关于使用Roles 和AuthorizeAttribute.. 的答案一起，我认为这是实现您想要做的事情的更好方法，还有另一种方法。

您可以简单地将用户重定向到另一个页面。最好是一个错误页面，说明您无权访问所请求的页面，或者只是一个 401 页面，如果您没有被授权，AuthorizeAttribute 会这样做。

替代解决方案

public class ClientesAdmin : Controller {
    // [Authorize(Roles="Admin")]  could do it this way
    public ActionResult List() {
        // or..
         if(!Common.UsuarioLogueado.Admin)
         {
             return new HttpStatusCodeResult(401);
             // or
             // return View("Error") // usually there is an 'Error' view the Shared folder
         }

         return View();
    }
}

这不是最好的解决方案，但我不知道您的项目有多远，而只是一个替代解决方案。

Answer 2

这就是我的做法。但是，您的会员系统需要使用 ASP.Net Roles 才能正常工作。

在您的控制器中，您只需添加数据注释Authorize。对于客户端访问的功能，他们必须登录并在功能中指定滚动。

此解决方案可能不是直接剪切和粘贴，但您可以看到基本用法然后可能对Authorize 功能进行更多研究。

public class MyController : Controller {
     [Authorize(Roles="Admin")]
     public ActionResult AdminIndex() {
          return View();
     }



    [Authorize(Roles = "basic")]
    public ActionResult BasicUsersIndex() {
         return View();
    }
}

Answer 3

理想情况下，您应该使用基于角色的访问控制。通过限制角色的访问，而不是表中的布尔值，您可以使用如下所示的授权属性来装饰您的 CientesAdmin 控制器。

[Authorize(Roles = "Admin")]
public class CientesAdminController : Controller
{ 
}

您还可以使用 razor 助手来检查用户是否为 IsInRole("Admin")。

网上有很多帮助可以指导您走这条路，但如果您的应用程序已经开发完毕，您可能希望进行更改。然后建议创建您自己的 AuthoriseAttribue。就像是。

public class RestrictAccessToAdmins : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        //Do the default Authorise Logic (Check if user is loggedin) 
        base.AuthorizeCore(httpContext);
         if (httpContext.User.IsInRole("Admin")) return true;

        var id = httpContext.User.Identity.GetUserId();

        using (ApplicationDbContext context = new ApplicationDbContext())
        {
            //Implement you own DB logic here returning a true or false. 
            return context.Common.First(u => u.userid == id).UsuarioLogueado.Admin;
        }
    }

}

要使用该属性，您需要执行以下操作。

[RestrictAccessToAdmins]
public class CientesAdminController : Controller
{ 
}

然后随着时间的推移，随着对默认授权属性的更好理解和一些重构，您可以轻松地将属性更改为以下 :)

[RestrictAccessToAdmins(Roles = "Admin")]
public class CientesAdminController : Controller
{ 
}