MVC 应用程序中的授权和认证

Question

MVC 应用中的授权和认证

我有一个使用 MVC 2 用 C# 开发的内部 Web 应用程序。我想使用 AD 角色/组进行授权。因此，我有 3 个访问组 Admin、Basic、Readonly。对应用程序的访问将通过这些组进行控制。

现在，当我点击我的 MVC 应用的操作/页面时，要求是：

1) 检查访问级别（在 Admin、Basic 或 Readonly 组中）

2) 如果在一个组中 - 提供页面。 如果没有 - 提供 401 Unauthorized 页面。

我可能对授权/身份验证的概念感到困惑，但这就是到目前为止的设置方式（来自答案、谷歌和我自己的努力来自question：

public static class AuthorizationModule
    {
        public static bool Authorize(HttpContext httpContext, string roles)
        {
            ...
            //Check Configuration.AppSettings for the roles to check

            //using httpContext.User check .IsInRole for each role and return true if they are

            ...

            //other wise throw new HttpException(401,.....)
        }

        ...
    }

    public class AuthorizeByConfigurationAttribute : AuthorizeAttribute
    {
        protected override bool AuthorizeCore(HttpContextBase httpContext)
        {
            //Essentially at the moment this is pretty much the same as AuthorizationModule.Authorize(HttpContext httpContext, string roles)
        }

    }

    //This code from http://paulallen.com.jm/blog/aspnet-mvc-redirect-unauthorized-access-page-401-page
    public class RequiresAuthenticationAttribute : AuthorizeAttribute
    {
        protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
        {
            if (filterContext.HttpContext.User.Identity.IsAuthenticated)
            {
                filterContext.Result = new ViewResult {ViewName = "AccessDenied"};
            }
            else
            {
                base.HandleUnauthorizedRequest(filterContext);
            }
        }
    }

这样做的问题是我现在似乎需要装饰我的操作方法两次，唉：

[AuthorizeByConfiguration(Roles = "Admin, Basic, Readonly")]
        [RequiresAuthentication(Roles = "Admin, Basic, Readonly")]
        public ActionResult Index(string msg)
        {
            ...
        }

下一个问题是，我似乎有三种不同的方法都试图做同样的事情。我正在根据建议覆盖方法，并不完全确定它们最初是如何工作的。我该如何实现我的要求？

编辑：由于这是一个 IntrAnet 应用程序，所有使用其网络帐户登录的用户都可以访问此应用程序。我需要限制访问，以便只有属于某些 Active Directory 安全组的人才能访问此应用

Answer 1

我已经用接口 IAuthorization 封装了所有关于 auth 的方法。

这是一个示例自定义属性，您需要添加 Roles 属性和您自己的实现。

出于可测试性原因，属性调用过滤器本身。

public class SomeAuthorizeAttribute : AuthorizeAttribute
{
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        var filter = new SomeAuthorizeFilter(DependencyLookup.Resolve<IAuthorization>());
        filter.OnAuthorization(filterContext);
    }
}

public class SomeAuthorizeFilter : IAuthorizationFilter
{
    private readonly IAuthorization _authorization;

    public SomeAuthorizeFilter(IAuthorization authorization)
    {
        _authorization = authorization;
    }

    protected virtual ActionResult ResultWhenNotAuthenticated(AuthorizationContext filterContext)
    {
        //snip..

        //default
        RouteValueDictionary redirectTargetDictionary = new RouteValueDictionary
                                                            {
                                                                {"action", "Index"},
                                                                {"controller", "Home"}
                                                            };
        return new RedirectToRouteResult(redirectTargetDictionary);
    }

    #region IAuthorizationFilter Members

    public void OnAuthorization(AuthorizationContext filterContext)
    {
        if (!_authorization.GetCurrentUserIdentity().IsAuthenticated)
        {
            filterContext.Result = ResultWhenNotAuthenticated(filterContext);
        }
    }

    #endregion
}