ASP.Net MVC5：当用户没有特定的操作角色时如何重定向并显示正确的错误消息

Question

登录后用户可以进行任何操作，但要考虑何时使用授权属性修饰操作并且角色名称在那里是特定的。只需参考示例代码。

public class HomeController : Controller
 {
     [Authorize(Roles = "Admin, HrAdmin")]
     public ActionResult PayRoll()
     {
         return View();
     }
 }

假设用户 Foo 没有像 Admin 或 HRAdmin 这样的角色，那么当用户 foo 尝试访问 PayRoll 操作时会发生什么？

在这种情况下，我想将用户重定向到我的错误页面，在那里我将向用户显示一条友好的消息。请指导我怎么做？

我是否需要从那里编写自定义授权属性，我需要检查用户是否有这些角色，然后从那里重定向用户？

Answer 1

我不知道这是否是最好的方法，但我是这样做的：

using System.Web.Mvc;

namespace YourNamespace
{
    public class AccessDeniedAuthorizeAttribute : AuthorizeAttribute
    {
        public override void OnAuthorization(AuthorizationContext filterContext)
        {
            base.OnAuthorization(filterContext);

            // Redirect to the login page if necessary
            if (!filterContext.HttpContext.User.Identity.IsAuthenticated)
            {
                filterContext.Result = new RedirectResult(System.Web.Security.FormsAuthentication.LoginUrl + "?returnUrl=" + filterContext.HttpContext.Request.Url);
                return;
            }

            // Redirect to your "access denied" view here
            if (filterContext.Result is HttpUnauthorizedResult)
            {
                filterContext.Result = new RedirectResult("~/Account/Denied");
            }
        }
    }
}

控制器：

public class HomeController : Controller
{
    [AccessDeniedAuthorize(Roles = "Admin, HrAdmin")]
    public ActionResult PayRoll()
    {
        return View();
    }
}

如果您的用户的角色定义正确，这就是您所要做的一切。如果您没有使用 ASP.NET Identity 来管理您的用户和角色，则需要更多代码来完成这项工作，在这种情况下，这可能会对您有所帮助：How can I attach a custom membership provider in my ASP.NET MVC application?。