ASP.NET MVC 基於角色的權限控制系統的示例教程

上一次在 .NET MVC 用戶權限管理示例教程中講解了ASP.NET MVC 通過AuthorizeAttribute類的OnAuthorization方法講解了粗粒度控制權限的方法，接下來講解基於角色的權限控制方法。

基於角色的權限控制方法概述

基於角色的權限控制系統RBAC（Role Based Access Control）是目前最流行，也是最通用的權限控制系統。所謂基於角色的權限控制，就是將各個操作權限分組，每一個組就是一個角色，舉個例子：管理員擁有所有的權限，編輯就只擁有寫文章和發布文章的權限，這里的“管理員”和“編輯”就是一個角色——一系列操作權限的集合。我們只需要將某個角色賦予某個用戶那么這個用戶就擁有這個角色下的權限集合。

 

現在我們要做的就是通過把Controller下的每一個Action可以看作是一個權限，然后可以通過方法將每一個權限進行自定義的分組，從而創建一個角色，然后將角色與用戶對應起來。

基於角色的權限控制方法步驟

步驟一、新建一個RoleAuthorizeAttribute類

這個類可以拿到ControllerName和ActionName，這樣可以根據ControllerName和ActionName判斷是什么樣的操作，如下面的代碼

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Security;
using System.Web.Mvc;
using System.Web.Routing;

namespace SampleMVCWebsite
{
    public class RoleAuthorizeAttribute : AuthorizeAttribute
    {
        public override void OnAuthorization(AuthorizationContext filterContext)
        {
            var isAuth = false;
            if (!filterContext.RequestContext.HttpContext.Request.IsAuthenticated)
            {
                isAuth = false;
            }
            else
            {
                if (filterContext.RequestContext.HttpContext.User.Identity != null)
                {
                    var roleApi = new RoleApi();
                    var actionDescriptor = filterContext.ActionDescriptor;
                    var controllerDescriptor = actionDescriptor.ControllerDescriptor;
                    var controller = controllerDescriptor.ControllerName;
                    var action = actionDescriptor.ActionName;
                    var ticket = (filterContext.RequestContext.HttpContext.User.Identity as FormsIdentity).Ticket;
                    var role = roleApi.GetById(ticket.Version);
                    if (role != null)
                    {
                        isAuth = role.Permissions.Any(x => x.Permission.Controller.ToLower() == controller.ToLower() && x.Permission.Action.ToLower() == action.ToLower());
                    }
                }
            }
            if (!isAuth)
            {
                filterContext.Result = new RedirectToRouteResult(new RouteValueDictionary(new { controller = "account", action = "login", returnUrl = filterContext.HttpContext.Request.Url, returnMessage = "您無權查看." }));
                return;
            }
            else
            {
                base.OnAuthorization(filterContext);
            }
        }
    }
}

 

 

其中RoleApi是角色對象管理的API，這里需要自己設置角色管理。上面的代碼中通過FilterContext的ActionDescriptor對象的ControllerDescriptor就可以獲取到ControllerName和ActionName。獲取到當前用戶的角色后，通過查看用戶的權限中是否包含了當前訪問的Controller中的方法，就能實現權限驗證。這里主要使用了ActionDescriptor和ControllerDescriptor，關於這兩個類的介紹可以參考MSDN官網。

PS:這里用Ticket的Version存儲RoleId。你也可以用其他方式。關於Ticket的知識可以參考微軟MSDN官方文檔，這里不再敖述。

步驟二、創建DescriptionAttribute類

這個類是繼承Attribute，為的是給Action方法打上描述標簽，如下面的代碼

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;

namespace SampleMVCWebsite
{
    /// <summary>
    /// Description Attribute
    /// </summary>
    public class DescriptionAttribute:Attribute
    {
        public string Name
        {
            set;
            get;
        }
        public int No
        {
            set;
            get;
        }
    }
}

 

 

Name和NO和Permission類中是ControllerName、ActionName和ControllerNo、ActionNO是對應的。

步驟三、給Controllers打上DescriptionAttribute標簽

使用步驟二創建的DescriptionAttribute標簽給Controller標上，以便存儲Permission的時候獲取信息。如下面的代碼：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;

namespace SampleMVCWebsite.Controllers
{
[Description(No = 1, Name = "用戶")]
    public class UserController : Controller
    {
        [RoleAuthorize]
        [Description(No = 1, Name = "用戶首頁")]
        public ActionResult Index()
        {
            return View();
        }
        [RoleAuthorize]
        [Description(No = 1, Name = "用戶管理員")]
        public ActionResult Manage()
        {
            return View();
        }
        [RoleAuthorize]
        [Description(No = 1, Name = "用戶詳情")]
        public ActionResult Detail()
        {
            return View();
        }
    }
}

 

 

步驟四、生成權限控制列表

步驟一種有一個role.Permissions，這個Permissions就是當前用戶所擁有的權限集合，在實際的項目開發中是把它存儲在數據庫關系表中的，我們可以將Permissions類如下面的代碼這樣定義

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
 
namespace SampleMVCWebsite
{
    public class Permission
    {
        /// <summary>
        /// Permission Id
        /// </summary>
        public virtual int Id
        {
            set;
            get;
        }
        /// <summary>
        /// Permission Action No
        /// </summary>
        public virtual int ActionNo
        {
            set;
            get;
        }
 
        /// <summary>
        /// Controller No
        /// </summary>
        public virtual int ControllerNo
        {
            set;
            get;
        }

        /// <summary>
        /// Controller Name
        /// </summary>
        public virtual string ControllerName
        {
            set;
            get;
        }

        /// <summary>
        /// Permission Action Name
        /// </summary>
        public virtual string ActionName
        {
            set;
            get;
        }
 
        /// <summary>
        /// Controller
        /// </summary>
        public virtual string Controller
        {
            set;
            get;
        }

        /// <summary>
        /// Action
        /// </summary>
        public virtual string Action
        {
            set;
            get;
        }
    }
}

 

屬性Controller和Action記錄的是權限,ControllerName和ActionName用於顯示UI，ControllerNo和ActionNo用於顯示順序控制。其余根據上面的代碼注釋應該很好理解，這里就不一一陳述了。

因此你需要將Action輸入數據庫中來實現RoleApi。手動輸入如果方法少還好，但是多了就比較麻煩，這樣我們可以使用.NET的反射機制來進行權限的創建。先看下面的代碼：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;
using SampleMVCWebsite.Controllers;

namespace SampleMVCWebsite
{
    public class InstallController
    {
        public class InstallController : Controller
        {
            public ActionResult Index()
            {
                return View();
            }

            [HttpPost]
            public ActionResult Index()
            {
                try
                {
                    var roleService = new RoleApi();
                    #region init permission
                    CreatePermission(new UserController());
                    #endregion

                    var allDefinedPermissions = roleService.GetDefinedPermissions();

                    #region 管理員角色初始化
                    var adminPermissions = new List<RolePermissionInfo>();
                    foreach (var d in allDefinedPermissions)
                    {
                        adminPermissions.Add(new RolePermissionInfo {Permission = d, });
                    }
                    int adminRoleId = roleService.AddRole(new RoleInfo
                    {
                        Name = "管理員",
                        Description = "",
                        Permissions = adminPermissions,
                        AddDate = DateTime.Now,
                    });
                    #endregion
                    return RedirectToAction("Admin", "Index");
                }
                catch (Exception ex)
                {
                    ModelState.AddModelError("", ex.Message);
                    return View();
                }
            }
            private void CreatePermission(Controller customController)
            {
                var roleApi = new RoleApi();

                var controllerName = "";
                var controller = ""; var controllerNo = 0;
                var actionName = ""; var action = ""; var actionNo = 0;
                var controllerDesc = new KeyValuePair<string, int>();

                var controllerType = customController.GetType();

                //remove controller posfix
                controller = controllerType.Name.Replace("Controller", "");
                controllerDesc = Getdesc(controllerType);
                if (!string.IsNullOrEmpty(controllerDesc.Key))
                {
                    controllerName = controllerDesc.Key;
                    controllerNo = controllerDesc.Value;
                    foreach (var m in controllerType.GetMethods())
                    {
                        var mDesc = GetPropertyDesc(m);
                        if (string.IsNullOrEmpty(mDesc.Key)) continue;
                        action = m.Name;
                        actionName = mDesc.Key;
                        actionNo = mDesc.Value;
                        roleApi.CreatePermissions(actionNo, controllerNo, actionName, controllerName, controller, action);
                    }
                }
            }
            private KeyValuePair<string, int> Getdesc(Type type)
            {
                var descriptionAttribute = (DescriptionAttribute)(type.GetCustomAttributes(false).FirstOrDefault(x => x is DescriptionAttribute));
                if (descriptionAttribute == null) return new KeyValuePair<string, int>();
                return new KeyValuePair<string, int>(descriptionAttribute.Name, descriptionAttribute.No);
            }
            private KeyValuePair<string, int> GetPropertyDesc(System.Reflection.MethodInfo type)
            {
                var descriptionAttribute = (DescriptionAttribute)(type.GetCustomAttributes(false).FirstOrDefault(x => x is DescriptionAttribute));
                if (descriptionAttribute == null) return new KeyValuePair<string, int>();
                return new KeyValuePair<string, int>(descriptionAttribute.Name, descriptionAttribute.No);
            }
        }
    }
}
上面的代碼首先通過Getdesc來獲取Controller的描述，GetPropertyDesc

 

方法獲取方法的描述，這里的方法就是一個獨立的權限，然后通過roleApi的CreatePermissions方法將權限的數據寫入到數據庫中，將數據寫入數據庫的代碼就需要根據自己的數據庫讀寫方法去實現了，強烈建議使用Linq對數據庫進行讀寫。然后再通過roleApi獲取到所有的權限並且將所有的權限綁定到Admin角色，保存對應關系。這樣我們就完成了權限控制列表生成並且初始化了管理員用戶。

通過上面的示例就可以完成ASP.NET MVC 基於角色的權限控制系統，上面的代碼中的roleApi需要自己寫代碼實現對數據庫的操作，數據模型就是權限、角色、用戶的數據表以及權限月角色以及角色與用戶的關系表。