Comment utiliser une autorisation personnalisée basée sur les rôles avec l'authentification Windows dans ASP.NET MVC3?

Question

Je crée une application intranet ASP.NET MVC3 avec l'authentification Windows. Je veux seulement que les utilisateurs de domaine utilisent cette application. Une fois qu'un utilisateur de domaine est authentifié (avec Active Directory), je prévois de créer des utilisateurs (avec un nom d'utilisateur AD), rôles & tables UserRoles dans SQL Server pour autorisation. Par conséquent, si un utilisateur fait partie d'un rôle qui possède un ensemble d'autorisations (pour accéder aux contrôleurs/actions), je ne devrais autoriser que les utilisateurs de ce rôle à les exécuter/les afficher. Par exemple: s'il y a une action/Emplacements/Créer, les rôles autorisés à effectuer cela, ne peuvent le faire que s'il y a une action/Emplacements/Créer.

Quelqu'un peut-il me donner des indications? Dois-je créer un filtre d'action personnalisé et utiliser l'attribut filter pour toute méthode d'action à laquelle le filtre doit s'appliquer?

Answer 1

Pour restreindre l'accès à une vue ASP.NET MVC, vous restreignez l'accès à la méthode d'action qui rend la vue. Pour ce faire, l'infrastructure MVC fournit la classe AuthorizeAttribute.

Exemple:

[Authorize(Roles = "Admin, Super User")] 
public ActionResult AdministratorsOnly() 
{ 
return View(); 
} 

Voir here pour plus de détails.

Notez que l'utilisation de l'attribut [Autoriser] nécessite que vous utilisiez une sorte de fournisseur d'appartenance.