如何在 asp.net mvc 身份上设置自定义身份验证？

Question

我需要什么？！ 我有一个 ASP.NET 身份系统设置并使用外部登录运行。无论出于何种原因，我都需要在 ASP.NET 身份验证之后设置自定义身份验证。让我解释一下如何？假设我有三个页面供用户在我的应用程序上查看，页面 A、B、C。 谁可以查看页面 A？ 任何匿名用户都可以查看页面 A。 谁可以查看页面 A 和 B？ 任何使用他/她的电子邮件和密码或外部登录创建帐户的用户。 谁可以查看页面 A、B 和 C？

这是我要设置自定义身份验证的地方。 任何使用他/她的电子邮件帐户或外部登录创建帐户并拥有有效序列号的用户。 序列号？ 我在 ASP.NET 标识中设置了一个类，如下所示：

 public class UserDetails : IdentityUser
    {
        public virtual MembershipSerial MembershipSerial { get; set; }
    }

    public class MembershipSerial
    {
        [HiddenInput(DisplayValue=false)]
        public int Id { get; set; }
        [HiddenInput(DisplayValue=false)]
        public string Serial { get; set; }
        [Required]
        [Display(Name="Membership Serial")]
        public string SerialConfirmed { get; set; }
    }

    public class MyDbContext : IdentityDbContext<UserDetails>
    {
        public MyDbContext()
            : base ("EFDbContext")
        {
        }
        public System.Data.Entity.DbSet<MembershipSerial> MembershipSerial { get; set; }
    }

正如您在上面的类中看到的，我在类中设置了三个属性。字段 ID 用于序列号的 ID，序列号是由管理员输入的 14 个字母数字字母，您可以看到它是一个不允许为空的隐藏字段。 SerialConfirmed 字段也是一个 14 个字母数字字母，用户将输入这些字母进行身份验证，以便在应用程序中执行某些特定任务。 整个概念是，应该推送登录用户进行第二种类型的身份验证，即身份验证与序列号。

我非常需要帮助，在线搜索并没有太大帮助。如果您需要更多信息或尚不清楚，请随时问我。 问候 编辑：我首先使用 EF 代码。 道达尔

Answer 1

似乎自定义授权属性会起作用。这是一个示例实现：

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, AllowMultiple = false)]
public class RequiresSerialValidationAttribute : AuthorizeAttribute
{
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        bool hasValidSerial = false;
        if (filterContext.HttpContext.Request.IsAuthenticated)
        {
            string userName = filterContext.HttpContext.User.Identity.Name;

            if (!string.IsNullOrWhiteSpace(userName))
            {       
                string serial = string.Empty;// TODO: Retrieve user's previously authenticated serial, perhaps from Session or a cookie?

                if(!string.IsNullOrWhiteSpace(serial))
                {
                    var service = DependencyResolver.Current.GetService<IYourAuthService>();
                    hasValidSerial = service.IsSerialValidForUser(userName, serial);
                }
            }
        }

        if (!hasValidSerial)
        {
            filterContext.Result = new RedirectToRouteResult(new RouteValueDictionary(new { controller = "yourserialauthcontroller", action = "yourauthaction", area = string.Empty }));
        }
        else
        {
            base.OnAuthorization(filterContext);
        }
    }
}

你可以用这个属性来装饰动作方法：

[RequireSerialValidation]
public ActionResult SomeAction()
{
}

该属性会触发重定向到您的质询操作，在该操作中您提示用户输入他们的序列。假设一切顺利，你将他们的序列存储在某个地方（会话可以在这里工作，或者创建一个加密的 cookie），然后重定向回原始操作。在第二次尝试中，您已经验证该操作是允许的，因此不会发生重定向。

您的身份验证服务可以是您想要的任何东西。在这个例子中，我假设你使用依赖注入并且你已经配置了全局依赖解析器。鉴于此，您的 IYourAuthService 可能如下所示（省略其他方法）：

public IYourAuthService
{
    bool IsSerialValidForUser(string userName, string serial);
}

这样的实现：

public YourAuthService : IYourAuthService
{
    public bool IsSerialValidForUser(string userName, string serial)
    {
        using(var context = new YourEntityFrameworkDbContext())
        {
            return context.Users.Any(u => u.UserName.Equals(userName, StringComparison.OrdinalIgnoreCase) && u.Serial.Equals(serial, StringComparison.OrdinalIgnoreCase));
        }
    }
}

这假设您的数据库中有一个名为User（或Users）的表，并且UserName 和Serial 是该表上的字段。 StringComparison.OrdinalIgnoreCase 允许您对要比较的字符串进行不区分大小写、不区分区域性的匹配。