允许一个人一次使用一个帐户的可重用方式

Question

我做了一个功能，可以防止一个用户名同时登录多个，我在 Actions 中这样称呼它：

        int userId = (int)WebSecurity.CurrentUserId;

        if ((this.Session.SessionID != dba.getSessionId(userId)) || dba.getSessionId(userId) == null)
        {
            WebSecurity.Logout();
            return RedirectToAction("Index", "Home");
        }

所以重点是每次用户登录时，我都会将他的 sessionID 保存到数据库字段中。因此，如果具有相同用户名的人登录已经使用相同用户名登录的人，它将用这个新会话覆盖该数据库字段。如果数据库中的 sessionID 与登录用户的当前会话 ID 不同，则将其注销。

是否有可能将这部分代码放在一个地方，或者我必须将它放在我的应用程序的每个操作中？

我在 Global.asax 中试过：

void Application_BeginRequest(object sender, EventArgs e)
    {
        if (Session["ID"] != null)
        {
            int userId = Convert.ToInt32(Session["ID"]);
            if ((this.Session.SessionID != db.getSessionId(userId)) || db.getSessionId(userId) == null)
            {
                WebSecurity.Logout();
            }
        }
    }

但是如果我这样尝试，我不能在这里使用 Session 或 WebSecurity 类：

    void Application_BeginRequest(object sender, EventArgs e)
    {
        int userId = (int)WebSecurity.CurrentUserId;

        if ((this.Session.SessionID != db.getSessionId(userId)) || db.getSessionId(userId) == null)
        {
            WebSecurity.Logout();
            Response.RedirectToRoute("Default");                
        }
    }

因为我得到空引用异常。

编辑

我用过这个：

    void IActionFilter.OnActionExecuting(ActionExecutingContext filterContext)
    {
        int userId = (int)WebSecurity.CurrentUserId;
        using (var db = new UsersContext())
        {
            string s = db.getSessionId(userId);

            if ((filterContext.HttpContext.Session.SessionID != db.getSessionId(userId)) || db.getSessionId(userId) == null)
            {
                WebSecurity.Logout();
                filterContext.Result = new RedirectResult("/Home/Index");
            }
        }
    }

我必须使用 using 语句作为上下文，否则 db.getSessionId(userId) 会返回旧的 sessionId。方法是这样的：

    public string getSessionId(int userId)
    {
        string s = "";
        var get = this.UserProfiles.Single(x => x.UserId == userId);
        s = get.SessionId;
        return s;
    }

非常奇怪，必须了解为什么会发生这种情况。

一切正常，除了一件事。我在控制器中有一个 JsonResult 操作，它返回 Json，但由于事件（其输入事件上的文本框）无法触发 POST（我认为这是因为它之前注销）重定向不起作用。它甚至无法发布到该 Json 操作以接收回调和重定向。有什么线索吗？

                        success: function (data) {
                        if (data.messageSaved) {
                            //data received - OK!
                        }
                        else {
                            // in case data was not received, something went wrong redirect out
                            window.location.href = urlhome;
                        }
                    }

在我使用 ActionFilterAttribute 之前，我使用代码检查 POST 中的不同会话，当然它可以进行回调，因此如果没有收到数据则重定向。但现在因为它甚至不能 POST 并进入方法它只是卡在那里并且不重定向:)

Answer 1

我会派生自AuthorizeAttribute。如果您不需要授权请求，则无需检查此信息。

public class SingleLoginAuthorizeAttribute : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    { 
        bool isAuthorized = base.AuthorizeCore(httpContext);

        if (isAuthorized)
        {
            int userId = (int)WebSecurity.CurrentUserId;

            if ((filterContext.HttpContext.Session.SessionID != dba.getSessionId(userId)) 
                || dba.getSessionId(userId) == null)
            {
                WebSecurity.Logout();
                isAuthorized = false;
                filterContext.Result = new RedirectResult("/Home/Index");
            }
        }

        return isAuthorized;
    }

    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        if (filterContext.HttpContext.Request.IsAjaxRequest())
        {
            filterContext.Result = new JsonResult()
            {
                Data = FormsAuthentication.LoginUrl,
                JsonRequestBehavior = JsonRequestBehavior.AllowGet
            };
        }
        else
        {
            base.HandleUnauthorizedRequest(filterContext);
        }
    }
}

我还要提到，这允许您短路其他 ActionFilter，因为它们在 OnAuthorization 之后运行。

1. 转发订单 - OnAuthorization : AuthorizationFilter（范围控制器）
2. 转发订单 - OnActionExecuting：ActionFilter1（全球范围）
3. 转发订单 - OnActionExecuting：ActionFilter2（范围控制器）
4. 转发订单 - OnActionExecuting：ActionFilter3（作用域操作）

然后正如Rob Lyndon 提到的，您可以在 FilterConfig (MVC4) 中

public class FilterConfig
{
    public static void RegisterGlobalFilters(GlobalFilterCollection filters)
    {
        filters.Add(new SingleLoginAuthorizeAttribute());
    }
}

然后，当您不想要求任何授权时，可以在 ActionResult 方法或控制器类上使用AllowAnonymouseAttribute 来允许匿名访问。

更新

我为您的 ajax 调用（Get 或 Post）添加了一种处理超时的方法。您可以执行以下操作：

success: function (jsonResult)
{
  if (jsonResult.indexOf('http') == 0)
  {
    window.location = jsonResult;
  }

  // do other stuff with the Ajax Result
}

这并不是最好的方法，但如果您想了解更多关于如何更好地做到这一点的信息，我会问另一个问题，而不是在这个问题上附加更多问题。

Answer 2

ActionFilterAttribute 是要走的路。

Answer 3

我们创建了一个名为SeatCheck 的Action Filter 并像这样装饰每个控制器：

[SeatCheck]
public class NoteController : BaseController
{

我们使用它来计算座位数和其他功能，但它可以更轻松地控制任何地方而无需考虑它。

在 proejct ActionFilters 文件夹中，我们有一个如下所示的 SeatCheck.cs 文件：

namespace site.ActionFilters
{
  public class SeatCheckAttribute : ActionFilterAttribute
  {
     public override void OnActionExecuting(ActionExecutingContext filterContext)
     {

你可以像这样在 Action Filter 中获取 SessionID

 filterContext.HttpContext.Session.SessionID

Answer 4

创建一个custom action filter，并将该代码放入过滤器中，然后将过滤器应用于您的控制器。

Answer 5

是的，确实有。您可以使用从ActionFilterAttribute 派生的属性。

我会写一个名为SessionSecurityAttribute的类：

public class SessionSecurityAttribute : ActionFilterAttribute
{
    public MyDbConn MyDbConn { get; set; }

    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        var session = filterContext.RequestContext.HttpContext.Session;
        if (session["ID"] != null && WebSecurity.IsAuthenticated)
        {
            int userId = Convert.ToInt32(session["ID"]);
            if ((sessionID != MyDbConn.getSessionId(userId)) || MyDbConn.getSessionId(userId) == null)
            {
                WebSecurity.Logout();
            }
        }
    }
}

问题仍然存在：如何将这些属性添加到您的操作中，同时让它们访问您的数据库？这很简单：在Global.asax 中，您可以调用引导RegisterGlobalFilters 方法：

public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
    filters.Add(new HandleErrorAttribute());
    filters.Add(new SessionSecurityAttribute
        {
            MyDbConn = DependencyResolver.Current.GetService<MyDbConn>()
        });
}

默认情况下，这会将您的 SessionSecurityAttribute 与数据库连接添加到每个操作中，而无需一行重复的代码。

Answer 6

您可以尝试实现自己的自定义 ISessionIDManager： http://msdn.microsoft.com/en-us/library/system.web.sessionstate.isessionidmanager.aspx

在validate中，检查是否仍然有效，否则返回false。