仅针对一项操作覆盖控制器 AuthorizeAttribute

Question

我有一个用 AuthorizeAttribute 装饰的控制器。控制器包含几个都需要身份验证的操作，除了一个需要 CustomAuthorizeAttribute 提供的自定义身份验证的操作。

我的问题是，一旦我在控制器级别添加了 [Authorize]，我可以在一个操作上使用 [CustomAuthorize] 覆盖它（或删除它）吗？还是我必须从控制器级别删除 [Authorize] 并将其单独添加到每个其他操作？

我纯粹是为了方便，因为我很懒，不想用 AuthorizeAttribute 装饰每个动作。

[Authorize]
public class MyController : Controller {

  //requires authentication
  public ViewResult Admin() {
    return View();
  }

  //... a lot more actions requiring authentication

  //requires custom authentication
  [CustomAuthorize]  //never invoked as already failed at controller level
  public ViewResult Home() {
    return View();
  }

}

Answer 1

在 MVC 5 中，您可以使用新属性 OverrideAuthorization 覆盖任何操作的授权。基本上，您将其添加到具有与控制器中定义的授权配置不同的授权配置的操作中。

你这样做：

[OverrideAuthorization]
[Authorize(Roles = "Employee")]
public ActionResult List() { ... }

更多信息http://www.c-sharpcorner.com/UploadFile/ff2f08/filter-overrides-in-Asp-Net-mvc-5/

在 ASP.NET Core 2.1 中没有 OverrideAuthorization 属性，您唯一能做的就是使操作匿名，即使控制器不是。更多信息https://docs.microsoft.com/en-us/aspnet/core/security/authorization/roles?view=aspnetcore-2.1

一种选择是这样做：

[Authorize(Roles = "Admin,Employee")] // admin or employee
public class XController : Controller 
{
    [Authorize(Roles = "Admin")] // only admin
    public ActionResult ActionX() { ... }

    [AllowAnonymous] // anyone
    public ActionResult ActionX() { ... }
}

Answer 2

您可以更改属性运行的顺序（使用 Order 属性），但我相信在这种情况下它们仍然会运行，除非生成立即生效的结果。关键是在最高级别（类）应用限制最少的属性，并对方法进行更多限制。例如，如果您希望 Home 操作公开可用，则需要从类中删除 Authorize 属性，并将其应用于每个其他方法。

如果操作具有相同的许可级别，但结果不同，则更改顺序可能就足够了。例如，您通常会重定向到 Logon 操作，但对于 Home，您希望重定向到 About 操作。在这种情况下，给类属性Order=2 和Home 操作属性Order=1。

Answer 3

经过太多时间，我想出了一个解决方案。您需要使用自定义 AuthorizeAttribute 来装饰您的控制器。

public class OverridableAuthorize : AuthorizeAttribute
{
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        var action = filterContext.ActionDescriptor;
        if(action.IsDefined(typeof(IgnoreAuthorization), true)) return;

        var controller = action.ControllerDescriptor;
        if(controller.IsDefined(typeof(IgnoreAuthorization), true)) return;

        base.OnAuthorization(filterContext);
    }
}

可以在 Action 上与 AllowAnonymous 配对

[AllowAnonymous]

Answer 4

您只需要覆盖控制器中的[Authorize]，因为特定操作就是添加

[AllowAnonymous] 

到您不想被授权的操作（然后根据需要添加您的自定义属性）。

查看 cmets/intellisense ：

表示一个属性，标记控制器和动作以跳过 授权期间的 System.Web.Mvc.AuthorizeAttribute。

完整示例

using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;
using System.Diagnostics;
using System.Threading.Tasks;

namespace Website
{
    public class CustomAuthorizeAttribute : AuthorizeAttribute, IAuthorizationFilter
    {
        public void OnAuthorization(AuthorizationFilterContext context)
        {
            if (true)//Perform own authorization logic
                return; //simply return if request is authorized

            context.Result = new UnauthorizedResult();
            return; //this is not authorized
        }
    }

    [Authorize]
    public class WebsiteController : Controller
    {
        [HttpGet]
        [AllowAnonymous]//When this is added our Custom Attribute is hit, without it our attribute is not used as request already gets 401 from controller's Authorize
        [CustomAuthorize]
        public IActionResult Index()
        {
            return View(new ViewModel());
        }
}

注意

如果您想在您的操作中使用 标准 [Authorize] 属性，这种方法将不起作用，并带有 自定义策略 例如

[Authorize]
public class WebsiteController : Controller
{
    [HttpGet]
    [AllowAnonymous]
    [Authorize("CustomPolicyName")] //Will not be run
    public IActionResult Index()
    {
        return View(new ViewModel());
    }
}


services.AddAuthorization(options =>
{
    options.AddPolicy("BadgeEntry", policy =>
    policy.RequireAssertion(context =>
        false //Custom logic here
    ));
});

...但是如果您像 OP 一样想要自定义属性，那么您可以使用我的解决方案。

Answer 5

在处理原型和生产环境时覆盖所有控制器。

所以不需要移除每个控制器的授权。

app.UseEndpoints(endpoint =>
        {
            endpoint.MapControllers().WithMetadata(new AllowAnonymousAttribute());
        });