基于方法的动态角色授权

Question

我有一个俱乐部表，当创建一个新角色时，会创建一个新角色 Club(俱乐部的 id)Admin。

我希望能够在方法的授权属性中引用这个角色。

这是我在控制器方法上尝试过的：

        [Authorize(Roles = "Club" + clubId + "Admin")]
    public ActionResult ClubDetails(int clubId)
    {
        var viewModel = db.Clubs
          .Where(t => t.ClubId == clubId)
          .Select(t => new ClubDetailsViewModel
          {
              ClubId = t.ClubId,
              Name = t.Name,
              ShortName = t.ShortName,
              Founded = t.Founded,
              ContactName = t.FirstName + " " + t.LastName,
              Address1 = t.Address1,
              Address2 = t.Address2,
              City = t.City,
              County = t.County,
              Postcode = t.Postcode,
              Telephone = t.Telephone,
              Email = t.Email,
              Website = t.Website,
              Bio = t.Bio,
              ClubTypeId = t.ClubTypeId,
              MembershipStatusId = t.MembershipStatusId,
              ChequesPayable = t.ChequesPayable,
              BACSAcc = t.BACSAcc,
              BACSSort = t.BACSSort,
              PaypalAdd = t.PaypalAddress,
          })
          .FirstOrDefault();
        return View(viewModel);
    }

但这会导致授权属性中的 clubId 出现错误。当前上下文中不存在名称 clubId

有没有一种方法可以引用在授权属性中传递给方法的参数？

Answer 1

您不能将动态数据传递给属性。 要解决您的问题，您可以继承 Authorize 属性并在 AuthorizeCore 方法中检查 clubId（您必须手动获取 clubId）或检查操作代码中的访问权限，即

if(User.IsInRole("Club" + clubId + "Admin"))

您可能应该考虑拆分“Admin”角色和 clubId，这样您的所有俱乐部管理员都具有相同的“Admin”角色并且他们都绑定到 clubId（即在数据库中具有列）

Answer 2

没有。你必须重写 AuthorizeAttribute 类来创建你自己的自定义属性。

[AttributeUsageAttribute( AttributeTargets.Class | 
                          AttributeTargets.Method, 
                          Inherited = true, AllowMultiple = true )]
public class CustomAuthorizeAttribute : AuthorizeAttribute {

   public override bool AuthorizeCore( HttpContextBase context ) {

       // this is where you can inspect the principal in context.User
       // and check if he/she is in role

       // you can get the clubId from context.Request.Params

       var clubId = int.Parse( context.Request.Params["clubId"] );

       return context.User.IsInRole( string.Format( "Club{0}Admin", clubId ) );  
   }

}

然后

[CustomAuthorizeAttribute]
public ActionResult ClubDetails(int clubId)

您甚至可以将Club{0}Admin 作为参数移动到属性的构造函数中。