授权.net core 2.0

Question

我在我的 asp.net 核心应用程序中设置了 cookie 身份验证。我有一个登录页面，其中凭据与活动目录匹配。这一切都很好。 现在接下来我想在我的应用程序中实现授权。我有一个用户表以及对他们的权限。例如读写权限。当用户成功通过身份验证后，我想检查这些权限并向他们展示某些功能，同时限制其他权限。例如，为写入权限显示某些下拉菜单，而为读取权限隐藏。

在 .NET Core 中处理此问题的最佳方法是什么。 我已阅读有关添加政策的信息，例如：

services.AddAuthorization(options => {
            options.AddPolicy("Read", policy => 
                      policy.RequireClaim("Read", "MyCLaim"));
 });

然后在我的控制器中：

[Authorize(Policy = "Read")]
public class HomeController : Controller
{

}

我在哪里从我的数据库中获取登录用户的权限以及如何验证用户是否具有这些权限。

不胜感激。

Answer 1

我在哪里从我的数据库中获取登录用户的权限和 如何验证用户是否拥有这些权限。

在用户通过身份验证后，您会立即收集用户的声明，并将其存储在身份验证 Cookie 中。

例如，SignInAsync 方法。

public async Task SignInAsync(User user, IList<string> roleNames)
{
    var claims = new List<Claim>
    {
        new Claim(ClaimTypes.Sid, user.Id.ToString()),
        new Claim(ClaimTypes.Name, user.UserName),
        new Claim(ClaimTypes.GivenName, user.FirstName),
        new Claim(ClaimTypes.Surname, user.LastName)
    };

    foreach (string roleName in roleNames)
    {
        claims.Add(new Claim(ClaimTypes.Role, roleName));
    }

    var identity = new ClaimsIdentity(claims, "local", "name", "role");
    var principal = new ClaimsPrincipal(identity);

    await _httpContextAccessor.HttpContext.SignInAsync(
      CookieAuthenticationDefaults.AuthenticationScheme, principal);
}

仅供参考：碰巧我将它们存储为角色声明。如果你不想的话，你不必走那条路。

然后您可以验证 Startup.cs 中的策略。

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        ...
        // Set up policies from claims
        // https://leastprivilege.com/2016/08/21/why-does-my-authorize-attribute-not-work/
        services.AddAuthorization(options =>
        {
            options.AddPolicy(Constants.RoleNames.Administrator, policyBuilder =>
            {
                policyBuilder.RequireAuthenticatedUser()
                    .RequireAssertion(context => context.User.HasClaim(
                        ClaimTypes.Role, Constants.RoleNames.Administrator))
                    .Build();
            });
        });
        ...
    }
}

Usage和你描述的一样。

[Authorize(Policy = "Read")]
public class HomeController : Controller
{
    public IActionResult Index()
    {
        return View();
    }
}