利用EntLib授權機制實現對ASP.NET頁面的自動授權

ASP.NET默認采用UrlAuthorizationModule和FileAuthorizationModule分別實現針對請求地址和物理文件的授權，但是在很多情況下我們需要額外的授權方式。Entlib提供了一種基於表達式的授權方式，它允許我們以一個表達式的方式來定義授權的規則。在新的項目中我們希望利用EntLib的授權框架來實現針對ASP.NET頁面的自動授權，本文描述的解決方案是我剛剛想到的，希望廣大網友朋友們幫助評估一下。[源代碼從這里下載]

目錄
一、實例演示
二、AuthorizationFilterAttribute
三、AuthorizeAttribute
四、PageBase

一、實例演示

我們先來作一個簡單的實例演示。如下所示的EntLib安全模塊的配置，如果讀者對此不了解也沒有關系，在這里我們只需要關注定義其中的一個授權規則（Authorization Rule）：“I:Foo OR R:Admin”。這是一個邏輯表達式，前綴I：和R：分別表示用戶名（Identity）和角色（Role），整個表達式表示的授權邏輯是：“帳號為Foo的用戶和所有具有Admin角色的用戶”有權限方法與此表達式關聯的操作或者資源。配置還定義了該授權規則的名稱“FooOrAdmin”。

<configuration>
  <configSections>
    <section name="securityConfiguration"
             type="Microsoft.Practices.EnterpriseLibrary.Security.Configuration.SecuritySettings,
                   Microsoft.Practices.EnterpriseLibrary.Security"/>
  </configSections>
  <securityConfiguration defaultAuthorizationInstance="Authorization Rule Provider">
    <authorizationProviders>
      <add name="Authorization Rule Provider"
           type="Microsoft.Practices.EnterpriseLibrary.Security.AuthorizationRuleProvider,
                 Microsoft.Practices.EnterpriseLibrary.Security">
        <rules>
          <add expression="I:Foo OR R:Admin" name="FooOrAdmin" />
        </rules>
      </add>
    </authorizationProviders>
  </securityConfiguration>
</configuration>

我們添加一個需要授權的Web頁面（Default.aspx），並且使用上面定義的表達式來作為該頁面的授權規則，我們通過自定義的AuthorizeAttribute特性實現兩者之間的關聯（該特性構造函數中指定的字符串正是配置的授權規則名稱）。除此之外，Web頁面對應的類型繼承自我們自定義的基類PageBase。

[Authorize("FooOrAdmin")]
public partial class Default : PageBase
{
}

我們隨后添加一個登錄頁面，具體的實現就不再這里一一介紹了。為了模擬不同的登錄用戶具有不同的權限，我們通過注冊HttpApplication的AuthenticateRequest事件來對當前Principal進行定制。具體的定義如下所示：如果用戶名為Bar，我們讓當前的Principal具有Admin角色，對於其他帳號的登錄用戶，角色列表為空。

public class Global : System.Web.HttpApplication
{
    protected void Application_AuthenticateRequest(object sender, EventArgs e)
    {
        if (null == HttpContext.Current.User || !HttpContext.Current.User.Identity.IsAuthenticated)
        {
            return;
        }

        IIdentity identity = new GenericIdentity(HttpContext.Current.User.Identity.Name);
        string[] roles = null;
        if (identity.Name.ToLower() == "bar")
        {
            roles = new string[] { "Admin" };
        }
        HttpContext.Current.User = new GenericPrincipal(identity, roles);
    }
}

由於頁面Default.aspx與配置名稱為FooOrAdmin的授權規則進行了關聯，根絕授權規則表達式定義和針對不同用戶的角色列表，意味着當我們以賬戶Foo和Bar登錄后才能訪問該頁面，“自動化授權”可以通過下圖得到證實：當前用戶為Foo和Bar時，頁面得以正常顯示；而當我們以Baz的身份登錄后，顯示“Access denied…”。

二、AuthorizationFilterAttribute

這里我吸取了ASP.NET MVC基於AuthorizationFilter的授權方式，不同的是AuthorizationFilter在ASP.NET MVC中以特性的方式應用到Controller類型和Action方法上，這里我們則將它應用到Web頁面對應的類上。AuthorizationFilterAttribute作為授權篩選器特性的基類定義如下，由於多個特性可以同時應用到同一個類型上，它們的執行順序通過屬性Order來控制。具體的授權判斷以及對非授權請求的處理定義在方法OnAuthorization方法上。

[AttributeUsage( AttributeTargets.Class, AllowMultiple = true)]
public abstract class AuthorizationFilterAttribute:Attribute
{
    public int Order { get; set; }
    public abstract bool OnAuthorization(AuthorizationContext context);
}

public class AuthorizationContext
{
    public HttpContext  HttpContext { get; private set; }
    public bool         UnAuthorizedRequestHandled { get; set; }

    public AuthorizationContext(HttpContext httpContext)
    {
        this.HttpContext = httpContext;
    }
}

OnAuthorization方法返回值代表的是真否授權的判斷，它具有一個類型為AuthorizationContext參數。AuthorizationContext是對HttpContext對象的封裝，屬性UnAuthorizedRequestHandled 表示是否完成了針對非授權請求的處理。如果多個AuthorizationFilterAttribute應用到同一個類型上，如果前面執行的AuthorizationFilterAttribute將傳入的AuthorizationContext的這個屬性設置為True，后續的將不在執行。

三、AuthorizeAttribute

基於EntLib的授權通過AuthorizeAttribute來實現。如下面的代碼片斷所示，AuthorizeAttribute 直接繼承自AuthorizationFilterAttribute，代表授權規則配置名稱的屬性AuthorizationRule 在構造函數中被初始化。在實現的OnAuthorization我們按照Entlib授權框架的編程模式判斷當前Principal是否具有針對指定授權規則的權限，對於非授權請求我們直接調用HandleUnauthorizedRequest方法進行處理。具體的處理邏輯很簡單：直接相應一段文字“Access denied…”（正是上面截圖中顯示的文字）。出於可擴展的考慮，我們將此方法定義成受保護的虛方法。

[AttributeUsage( AttributeTargets.Class, AllowMultiple = true)]
public class AuthorizeAttribute : AuthorizationFilterAttribute
{
    public string AuthorizationRule { get; private set; }
    public AuthorizeAttribute(string authorizationRule)
    {
        Guard.ArgumentNotNullOrEmpty(authorizationRule, "authorizationRule");
        this.AuthorizationRule = authorizationRule;
    }

    public override bool OnAuthorization(AuthorizationContext context)
    {
        IAuthorizationProvider authorizationProvider = AuthorizationFactory.GetAuthorizationProvider();
        if (authorizationProvider.Authorize(context.HttpContext.User, this.AuthorizationRule))
        {
            return true;
        }
        this.HandleUnauthorizedRequest(context);
        return false;
    }

    protected virtual void HandleUnauthorizedRequest(AuthorizationContext context)
    {
        context.HttpContext.Response.Write(context.HttpContext.User.Identity.Name + ": Access denied...");
    }
}

四、PageBase

我們知道針對一個ASP.NET 資源的請求最后大都通過一個對應的HttpHandler來處理，這個授權解決方案的基本思路就是通過自定義HttpHandler實現自動化授權檢驗。Page類型是我們最為熟悉的HttpHandler，為此我們定義了如下一個繼承自它的類型PageBase。如下面的代碼片斷所示，在重寫的ProcessRequest方法中實現了對應用在當前類型上的AuthorizationFilterAttribute特性的解析和執行，進而提供了對授權的實現。

public abstract class PageBase: Page
{
    public override void ProcessRequest(HttpContext context)
    {
        var filterAttributes = this.GetType().GetCustomAttributes(true)
                                .OfType<AuthorizationFilterAttribute>()
                                .OrderBy(attribute => attribute.Order);
        AuthorizationContext authorizationContext = new AuthorizationContext(context);
        bool isAuthorized = true;
        foreach (AuthorizationFilterAttribute attribute in filterAttributes)
        {
            isAuthorized = attribute.OnAuthorization(authorizationContext);
            if (authorizationContext.UnAuthorizedRequestHandled)
            {
                break;
            }
        }

        if (isAuthorized)
        {
            base.ProcessRequest(context);
        }
    }
}