ASP.net5 中的授权

Question

我正在尝试查看 ASP.net5 中是否有“开箱即用”的东西来授权我的应用程序需求。我正在使用基于组/权限的方法进行授权。使用 Identity3 我使用角色作为组，然后我从中创建了权限。每个权限都有一个链接到的资源和 1 个或多个值，例如：

资源 = 页面，权限 = 添加、更新、查看、删除

另一个复杂之处是组具有动态名称和动态权限！！

我已经开始阅读 ASP.net5 中的授权，并且似乎找到了一个叫做 Policies 的东西，听起来不错。这似乎迫使您使用 Claims，如果我使用 ClaimsTransformer 来获取我的所有权限并将它们添加为来自 Db 的声明，这是可能的。但是我是否认为我必须为每个权限、每个资源创建一个策略？这似乎是很多设置。

有什么我不知道的东西已经内置在 ASP.net5 中我可以使用吗？像这样的属性

[Authorize("Page", "Delete")]

我可以添加到 PageController Delete 方法中。

如果我必须在控制器中使用某种服务和 DI 来实现这一点，那也可以。

Answer 1

有一个ClaimsPrincipalPermissionAttribute 可以满足您的要求。

或者你可以实现自己的AuthorizeAttribute。

Answer 2

我使用AspNet.Security.OpenIdConnect.Server 进行授权。不过你也可以看看OpenIddict

在任何情况下，您都可以像这样将 Authorize 属性添加到您想要的任何方法中

[Authorize(Roles = "Administrator,SimpleUser,AnOtherRole")]
public void MyMethod() {}

Answer 3

Resource based authorization 可能会满足您的需求，但我对作为资源的页面而不是页面的作用有点困惑。

采用您的页面/删除组合，我想您的页面删除操作不是页面资源，而是一个参数，指示要删除的页面？ （如果不是这种情况，那么这种方法当然行不通）

在这种情况下，你会做类似的事情

[Authorize]
public class PageController : Controller
{
    IAuthorizationService _authorizationService;

    public PageController(IAuthorizationService authorizationService)
    {
        _authorizationService = authorizationService;
    }

    public Delete(int pageId)
    {
        var page = pageRepo.GetPage(pageId);
        if (await authorizationService.AuthorizeAsync(User, page,  Operations.Delete))
        {
            return View(page);
        }
        else
        {
            return new ChallengeResult();
        }
    }
}

为了实现这一点，您需要根据页面和操作要求（或任何旧要求，但参数化操作要求意味着您可以编写单个处理程序并相应地分支）编写处理程序。

我们非常努力地不再将数据放入属性中，而是将其转移到需求中，因为坦率地说，属性中的数据是维护的噩梦。

还有一点需要注意；由于处理程序是通过 DI 解析的，因此您可以将您的用户注入到处理程序中的权限解析器中，这将避免使用声明转换。

Answer 4

ASP.NET 提供了易于使用的开箱即用的身份验证机制，例如：

public class HomeController : Controller
{
    [Authorize]
    public ActionResult Index()
    {
        ViewBag.Message = "This can be viewed only by authenticated users only";
        return View();
    }

    [Authorize(Roles="admin")]
    public ActionResult AdminIndex()
    {
        ViewBag.Message = "This can be viewed only by users in Admin role only";
        return View();
    }
}

查看this tutorial

或者，如果您想要更复杂的机制，您可以基于 ASP.NET Membership Provider 实现自己的 memberhsip 提供程序