当用户具有多个角色时，位置授权如何工作？

Question

我的 web.config 有这个授权规则：

  <location path="Views/Administrator">
    <system.web>
      <authorization>
        <allow roles="roleA, roleB" />
        <deny users="*" />
      </authorization>
    </system.web>
  </location>

这是什么意思？

当我测试登录过程时，roleA 中的用户或 roleB 中的用户能够访问 Views/Administrator 下的所有内容，但是当用户登录时roleC 他们被拒绝访问。到目前为止，这是有道理的。乍一看，这意味着允许具有 roleA 或 roleB 的用户。 但是，当我将角色 roleA 和 roleC 分配给同一用户并尝试登录时，我被拒绝了。这意味着授权规则会查看用户所在的所有角色，如果用户没有<allow /> 标记中定义的所有角色，则拒绝用户访问。

那么：“当用户拥有多个角色时，位置授权如何工作？”

Answer 1

好的，我刚刚创建了一个使用默认角色管理器的新 Web 应用程序。我创建了三个角色，roleA、roleB、roleC。在我的应用程序中，我添加了您在上面使用的相同配置条目，但将路径更改为默认的关于页面“About.aspx”。

在测试了不同的角色配置后，角色的工作方式似乎与预期完全一致。如果用户是多个角色的成员，例如角色 A 和角色 C，如果您按照上面的方式进行配置，则允许“roleA，roleB”我的用户无论顺序如何都可以访问。删除配置中的角色A，我的用户不再具有访问权限。拿走roleB和readd roleA，我的用户又可以访问了，把它们都读了，用户可以访问。

编辑 2 - 使用“RoleGroup”删除图像，因为我相信它会增加混乱。

http://www.asp.net/security/tutorials/role-based-authorization-cs。
对基于角色的身份验证如何工作有很好的解释。没有关于多个角色的详细信息。

另外，作为旁注，您可以通过编程方式检查角色，这维护起来有点麻烦，但是您可以随心所欲地处理授权，我在过去的项目中亲自这样做过，以限制用户访问不同的页面，它对我来说效果很好。

http://www.4guysfromrolla.com/articles/082703-1.2.aspx

编辑 - 添加有关我的测试的信息。

进一步解释我是如何测试的：

我在网络管理工具中创建了一个基本用户和 3 个角色。创造了3个角色。并将角色 A 和角色 C 分配给我的用户。

从这里是我的配置文件。这是默认 Web 配置，其中包含您在上面添加的设置的新项目。

<?xml version="1.0"?>
<configuration>
  <connectionStrings>
    <add name="ApplicationServices" connectionString="data source=.\SQLEXPRESS;Integrated Security=SSPI;AttachDBFilename=|DataDirectory|\aspnetdb.mdf;User Instance=true"
     providerName="System.Data.SqlClient" />
</connectionStrings>
<system.web>
    <compilation debug="true" targetFramework="4.0" />

 <authentication mode="Forms">
   <forms loginUrl="~/Account/Login.aspx" timeout="2880" />
 </authentication>

<membership>
  <providers>
    <clear/>
    <add name="AspNetSqlMembershipProvider" type="System.Web.Security.SqlMembershipProvider" connectionStringName="ApplicationServices"
         enablePasswordRetrieval="false" enablePasswordReset="true" requiresQuestionAndAnswer="false" requiresUniqueEmail="false"
         maxInvalidPasswordAttempts="5" minRequiredPasswordLength="6" minRequiredNonalphanumericCharacters="0" passwordAttemptWindow="10"
         applicationName="/" />
  </providers>
</membership>

<profile>
  <providers>
    <clear/>
    <add name="AspNetSqlProfileProvider" type="System.Web.Profile.SqlProfileProvider" connectionStringName="ApplicationServices" applicationName="/"/>
  </providers>
</profile>

<roleManager enabled="true">
  <providers>
    <clear />
    <add connectionStringName="ApplicationServices" applicationName="/"
      name="AspNetSqlRoleProvider" type="System.Web.Security.SqlRoleProvider" />
    <add applicationName="/" name="AspNetWindowsTokenRoleProvider"
      type="System.Web.Security.WindowsTokenRoleProvider" />
  </providers>
</roleManager>

</system.web>

<system.webServer>
    <modules runAllManagedModulesForAllRequests="true"/>
</system.webServer>


 <location path="About.aspx">
    <system.web>
        <authorization>
            <allow roles="roleA, roleB" />
            <deny users="*" />
        </authorization>
    </system.web>
 </location>

Answer 2

如前所述，请尝试以编程方式执行此操作。 if(User.IsInRole("RoleC") ) { ... ETC。 }