如何为 MVC .Net Core 应用程序创建单个管理员用户

Question

我正在构建一个本质上是一个商店的网络应用程序，但我想为网站管理员提供一种简单的方式来添加新产品。但是我想限制网站的这一部分，以便只有管理员可以访问它。目前我对其他用户没有用处。

如何使任何拥有管理员用户名和密码的人都可以访问这些页面并且它会一直知道他们已登录？我已经有一个接受用户输入的系统，如果它是正确的，然后继续到管理页面。但问题是，如果有人决定直接进入像 Admin/AddProduct 这样的页面。我需要我的应用知道他们还不能访问 AddProduct 页面并将它们重定向回登录。

Answer 1

乔伊，这就是你的做法

您可以通过在 startup 类中创建 CreateRoles 方法来轻松完成此操作。这有助于检查是否创建了角色，如果没有创建角色；在应用程序启动时。像这样。

private async Task CreateRoles(IServiceProvider serviceProvider)
    {
        //initializing custom roles 
        var RoleManager = serviceProvider.GetRequiredService<RoleManager<IdentityRole>>();
        var UserManager = serviceProvider.GetRequiredService<UserManager<ApplicationUser>>();
        string[] roleNames = { "Admin", "Store-Manager", "Member" };
        IdentityResult roleResult;

        foreach (var roleName in roleNames)
        {
            var roleExist = await RoleManager.RoleExistsAsync(roleName);
            // ensure that the role does not exist
            if (!roleExist)
            {
                //create the roles and seed them to the database: 
                roleResult = await RoleManager.CreateAsync(new IdentityRole(roleName));
            }
        }

        // find the user with the admin email 
        var _user = await UserManager.FindByEmailAsync("admin@email.com");

       // check if the user exists
       if(_user == null)
       {
            //Here you could create the super admin who will maintain the web app
            var poweruser = new ApplicationUser
            {
                UserName = "Admin",
                Email = "admin@email.com",
            };
            string adminPassword = "p@$$w0rd";

            var createPowerUser = await UserManager.CreateAsync(poweruser, adminPassword);
            if (createPowerUser.Succeeded)
            {
                //here we tie the new user to the role
                await UserManager.AddToRoleAsync(poweruser, "Admin");

            }
       }
    }

然后您可以从 Startup 类中的Configure 方法调用await CreateRoles(serviceProvider); 方法。 确保在 Configure 类中有 IServiceProvider 作为参数。

问题 2：“如何让任何拥有管理员用户名和密码的人都可以访问这些页面”

你可以很容易地做到这一点，就像这样。

[Authorize(Roles="Admin")]
public class ManageController : Controller
{
   //....
   Return View();
}

你也可以像这样在 action 方法中使用基于角色的授权。分配多个角色，如果你愿意的话

[Authorize(Roles="Admin")]
public IActionResult Index()
{
/*
 .....
 */ 
}

虽然这可以正常工作，但为了更好地实践，您可能需要阅读有关使用基于策略的角色检查的信息。你可以在 ASP.NET 核心文档here 上找到它，或者我写的这篇文章here

Answer 2

将 ASP.NET 标识添加到项目后，您可以在应用程序中实现 Role based Authorization。基本上，它允许您为控制器设置[Authorize(Roles = "Administrator")] 属性，该属性仅适用于管理员用户。