MVC 不坚持身份验证

Question

我正在开发两个应用程序。它们都需要同时使用 Windows 身份验证和匿名访问。所以为了做到这一点，我编辑了 web.config 以摆脱授权标签（使用“拒绝用户 =”？“”）并且只用我的自定义授权属性标记了一些操作。麻烦的是，服务器正在“忘记”我。因此，例如，在第一个应用程序上，一个用户报告说她必须每隔一次她想要编辑时尝试访问控制面板。在第二个中，我单击登录，我已登录，然后单击任何其他链接（尤其是“保存”）并退出。

这是我的自定义授权属性之一：

public class AccountsAuthorizeITAttribute : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        if(httpContext.User.Identity.IsAuthenticated == false)
        {
            return false;
        }

        if(httpContext.User.IsInRole("CT-IT"))
        {
            return true;
        }

        return false;
    }
}

要登录，我的 _layout 中有这个：

@Html.ActionLink("Login", "Login", "Login", new { returnURL = HttpContext.Current.Request.RawUrl }, null)

使用此登录控制器：

public class LoginController : Controller
{
    [AccountsAuthorizeIT]
    public ActionResult Login(string returnURL)
    {
        return Redirect(returnURL);
    }
}

是什么原因造成的？我的身份验证不应该存储在会话变量中，只要浏览器窗口打开就保存（大约）？我需要告诉服务器记住我的数据吗？

Answer 1

我的身份验证不应该存储在会话变量中吗？ （大约）只要浏览器窗口打开？我需要告诉 服务器来记住我的数据？

我个人喜欢使用 OWIN Cookie 中间件将它们作为声明存储在 Principle 对象中。

Here 是示例代码。 roleNames 可以是用户分配的 Active Directory 组。

public void SignIn(User user, IList<string> roleNames)
{
    IList<Claim> claims = new List<Claim>
            {
                new Claim(ClaimTypes.Sid, user.Id.ToString()),
                new Claim(ClaimTypes.Name, user.UserName),
                new Claim(ClaimTypes.GivenName, user.FirstName),
                new Claim(ClaimTypes.Surname, user.LastName),
            };

    foreach (string roleName in roleNames)
    {
        claims.Add(new Claim(ClaimTypes.Role, roleName));
    }

    ClaimsIdentity identity = new ClaimsIdentity(claims, AuthenticationType);

    IOwinContext context = _context.Request.GetOwinContext();
    IAuthenticationManager authenticationManager = context.Authentication;

    authenticationManager.SignIn(identity);
}

Startup.cs

然后在启动时注册 OWIN Cookie 中间件。

public class Startup
{
    public void Configuration(IAppBuilder app)
    {
        app.UseCookieAuthentication(new CookieAuthenticationOptions
        {
            AuthenticationType = "ApplicationCookie",
            LoginPath = new PathString("/Account/Login")
        });
    }
}

如果您将它们存储在 Principle 对象中，您甚至不需要自定义属性 AccountsAuthorizeITAttribute。