现在我装饰了一个这样的方法来允许“成员”访问我的控制器操作
[Authorize(Roles="members")]
我如何允许多个角色？例如以下内容不起作用，但它显示了我正在尝试做的事情（允许“成员”和“管理员”访问）：
[Authorize(Roles="members", "admin")]
【问题讨论】：
标签： asp.net-mvc controller roles
另一种选择是在您发布时使用单个授权过滤器，但删除内部引号。
[Authorize(Roles="members,admin")]
【讨论】：
如果你想使用自定义角色，你可以这样做：
CustomRoles类：
public static class CustomRoles
{
public const string Administrator = "Administrador";
public const string User = "Usuario";
}
用法
[Authorize(Roles = CustomRoles.Administrator +","+ CustomRoles.User)]
如果你的角色很少，也许你可以像这样（为了清楚起见）组合它们：
public static class CustomRoles
{
public const string Administrator = "Administrador";
public const string User = "Usuario";
public const string AdministratorOrUser = Administrator + "," + User;
}
用法
[Authorize(Roles = CustomRoles.AdministratorOrUser)]
【讨论】：
对于 MVC4，使用 Enum (UserRoles) 和我的角色，我使用自定义 AuthorizeAttribute。
在我控制的行动中，我会：
[CustomAuthorize(UserRoles.Admin, UserRoles.User)]
public ActionResult ChangePassword()
{
return View();
}
我使用自定义的AuthorizeAttribute 像这样：
[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, Inherited = true, AllowMultiple = true)]
public class CustomAuthorize : AuthorizeAttribute
{
private string[] UserProfilesRequired { get; set; }
public CustomAuthorize(params object[] userProfilesRequired)
{
if (userProfilesRequired.Any(p => p.GetType().BaseType != typeof(Enum)))
throw new ArgumentException("userProfilesRequired");
this.UserProfilesRequired = userProfilesRequired.Select(p => Enum.GetName(p.GetType(), p)).ToArray();
}
public override void OnAuthorization(AuthorizationContext context)
{
bool authorized = false;
foreach (var role in this.UserProfilesRequired)
if (HttpContext.Current.User.IsInRole(role))
{
authorized = true;
break;
}
if (!authorized)
{
var url = new UrlHelper(context.RequestContext);
var logonUrl = url.Action("Http", "Error", new { Id = 401, Area = "" });
context.Result = new RedirectResult(logonUrl);
return;
}
}
}
这是 Fabricio Martínez Tamayo https://github.com/fabriciomrtnz/FNHMVC/ 修改的 FNHMVC 的一部分
【讨论】：
一种可能的简化是继承AuthorizeAttribute：
public class RolesAttribute : AuthorizeAttribute
{
public RolesAttribute(params string[] roles)
{
Roles = String.Join(",", roles);
}
}
用法：
[Roles("members", "admin")]
语义上与 Jim Schmehil 的回答相同。
【讨论】：
System.Web.Mvc.AuthorizeAttribute 来处理 System.Web.Mvc.Controllers 和 System.Web.Http.AuthorizeAttribute 来处理 System.Web.Http.ApiController（RESTful 调用）。
通过添加子类AuthorizeRole.cs更好的代码
[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, Inherited = true, AllowMultiple = true)]
class AuthorizeRoleAttribute : AuthorizeAttribute
{
public AuthorizeRoleAttribute(params Rolenames[] roles)
{
this.Roles = string.Join(",", roles.Select(r => Enum.GetName(r.GetType(), r)));
}
protected override void HandleUnauthorizedRequest(System.Web.Mvc.AuthorizationContext filterContext)
{
if (filterContext.HttpContext.Request.IsAuthenticated)
{
filterContext.Result = new RedirectToRouteResult(
new RouteValueDictionary {
{ "action", "Unauthorized" },
{ "controller", "Home" },
{ "area", "" }
}
);
//base.HandleUnauthorizedRequest(filterContext);
}
else
{
filterContext.Result = new RedirectToRouteResult(
new RouteValueDictionary {
{ "action", "Login" },
{ "controller", "Account" },
{ "area", "" },
{ "returnUrl", HttpContext.Current.Request.Url }
}
);
}
}
}
如何使用这个
[AuthorizeRole(Rolenames.Admin,Rolenames.Member)]
public ActionResult Index()
{
return View();
}
【讨论】：
另一个明确的解决方案，您可以使用常量来保持约定并添加多个 [Authorize] 属性。看看这个：
public static class RolesConvention
{
public const string Administrator = "Administrator";
public const string Guest = "Guest";
}
然后在控制器中：
[Authorize(Roles = RolesConvention.Administrator )]
[Authorize(Roles = RolesConvention.Guest)]
[Produces("application/json")]
[Route("api/[controller]")]
public class MyController : Controller
【讨论】：
Authorize 属性采用 AND 语义并要求满足所有条件（即用户必须同时具有管理员和访客角色）。
如果您发现自己经常应用这 2 个角色，则可以将它们包装在各自的 Authorize 中。这实际上是已接受答案的扩展。
using System.Web.Mvc;
public class AuthorizeAdminOrMember : AuthorizeAttribute
{
public AuthorizeAdminOrMember()
{
Roles = "members, admin";
}
}
然后将您的新授权应用于操作。我认为这看起来更干净并且易于阅读。
public class MyController : Controller
{
[AuthorizeAdminOrMember]
public ActionResult MyAction()
{
return null;
}
}
【讨论】：
使用 AspNetCore 2.x，你必须采取一些不同的方式：
[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, Inherited = true, AllowMultiple = true)]
public class AuthorizeRoleAttribute : AuthorizeAttribute
{
public AuthorizeRoleAttribute(params YourEnum[] roles)
{
Policy = string.Join(",", roles.Select(r => r.GetDescription()));
}
}
像这样使用它：
[Authorize(YourEnum.Role1, YourEnum.Role2)]
【讨论】：
Policy = 或 Roles = ?
Intent promptInstall = new Intent(android.content.Intent.ACTION_VIEW);
promptInstall.setFlags(Intent.FLAG_ACTIVITY_NEW_TASK);
promptInstall.setDataAndType(Uri.parse("http://10.0.2.2:8081/MyAPPStore/apk/Teflouki.apk"), "application/vnd.android.package-archive" );
startActivity(promptInstall);
【讨论】：
您可以使用授权策略 在 Startup.cs 中
services.AddAuthorization(options =>
{
options.AddPolicy("admin", policy => policy.RequireRole("SuperAdmin","Admin"));
options.AddPolicy("teacher", policy => policy.RequireRole("SuperAdmin", "Admin", "Teacher"));
});
在控制器文件中：
[Authorize(Policy = "teacher")]
[HttpGet("stats/{id}")]
public async Task<IActionResult> getStudentStats(int id)
{ ... }
“教师”政策接受 3 个角色。
【讨论】：