Autorisez Attributs, filtrer par rôles et juste un autre userID

Question

Comment puis-je inclure un utilisateur quel que soit son rôle, dépendant d'un ID utilisateur correspondant, et pas toujours même utilisateur:

[Authorize(Roles="Group1") AND userID=uniqueID] 

Answer 1

Vous ne serez pas en mesure de le faire avec la valeur par défaut AuthorizeAttribute. Vous devrez étendre AuthorizeAttribute avec une classe personnalisée qui ajoute le comportement de l'utilisateur. Généralement, il utilise des utilisateurs nommés, mais vous pouvez fournir une alternative. Normalement, si vous fournissez à la fois des utilisateurs et des rôles, l'utilisateur doit figurer dans la liste des utilisateurs et avoir l'un des rôles indiqués.

public class UserOrRoleAuthorizeAttribute : AuthorizeAttribute 
{ 
    public int? SuperUserID { get; set; } 

    protected override bool AuthorizeCore(HttpContextBase httpContext) 
    { 
     if (base.AuthorizeCore(httpContext)) 
     { 
      var userid == ...get id of current user from db... 
      return userid == this.SuperUserID; 
     } 
     return false; 
    } 
} 

Utilisé comme:

[UserOrRoleAuthorize(Roles="Admin",SuperUserID=15)] 
public ActionResult SomeAction() ... 

Notez que vous pouvez également ajouter une certaine façon de specifing où chercher l'id pour cette action, .ie,

Table="Admins",Column="AdminID",MatchProperty="Company",MatchParameter="company" 

puis mettre du code dans l'attribut pour rechercher la valeur dans la table et la colonne de propriétés et la comparer à l'entrée RouteValue spécifiée au lieu de la coder en dur.

Answer 2

Vous pouvez écrire une coutume Autorisez filter (implémenter IAuthorizationFilter)

Votre filtre Authorize personnalisé peut prendre l'ID utilisateur en tant que paramètre.

Quelque chose comme

public class 
    YourAuthorizeFilterAttribute : AuthorizeAttribute, IAuthorizationFilter 
{ 
    public string UserId { get; set; } 

    public void OnAuthorization(AuthorizationContext filterContext) 
    { 
     if(filterContext.HttpContext.User.Identity.Name != UserId && 
      !filterContext.HttpContext.User.IsInRole(base.Roles)) 
     { 
      filterContext.Result = new RedirectResult("/Account/LogOn"); 
     } 
    } 
} 

Ensuite, utilisez votre propre filtre comme si

[YourAuthorizeFilter(UserId = "theuser", Roles ="Group1")] 

Bonté,

Dan