MVC 3 成员资格和授权

Question

我正在开发一个 MVC3 应用程序，我已经到了需要开始保护 Intranet 站点的不同区域以供特定用户使用的地步。

网站正在内网使用，使用windows认证登录。

在数据库中，我有一个用户表，其中包含许多确定用户角色的字段。这是在站点的管理区域中维护的。

某些用户可以访问管理区域，某些用户只能阅读站点的某些区域而不能贡献等等。有一些复杂的业务规则。

我正在寻找如何保护不同区域的安全。我已经阅读了几篇关于在特定组的控制器上使用授权属性的文章，据我了解，这似乎不太合适我必须从应用程序的配置中控制哪些用户在哪些组中而应用程序的管理员用户应该是通过应用程序本身控制它的人。

欢迎提出任何建议。

Answer 1

如果您主要关心管理用户，ASP.NET 可以通过其内置的 Web 应用程序管理工具在这方面做得很好。在解决方案资源管理器的右上角，刷新按钮的右侧，是一个锤击工具，您可以单击它。它允许您管理用户和角色，并从那里您可以将用户分配给角色。也许您的管理员可以使用它。

这告诉您如何： http://www.asp.net/mvc/tutorials/mvc-music-store/mvc-music-store-part-7

至于必须将授权属性放在控制器/方法上，我看不出有任何解决办法。如果我误解了您的问题，请告诉我。

Answer 2

为用户分配角色并使用AuthorizeAttribute。