.Net Mvc5Filter與權限認證擴展

WebForm

在做WebForm的時候,如果我們要實現某頁面登陸后才能訪問,這個非常容易實現

    public partial class IndexForm : Page
    {
        protected void Page_Load(object sender, EventArgs e)
        {
            //檢查是否登錄(session/cookie),失敗跳轉登錄,成功繼續訪問
        }
    }

但是實際工作中,不會只有一個頁面需要權限檢查,當我們面對多個頁面的時候,該如何處理呢?這個時候一般會采取下列這種處理方式:

    public partial class IndexForm : BasePage
    {
        protected void Page_Load(object sender, EventArgs e)
        {
            //do something
        }
    }

    public partial class BasePage : Page
    {
        /// <summary>
        /// Pre_Init頁面加載最早發生的事件
        /// </summary>
        /// <param name="sender"></param>
        /// <param name="e"></param>
        public void Pre_Init(object sender, EventArgs e)
        {
            //檢查用戶登錄(session/cookie)成功就繼續,失敗就跳轉到登陸頁
            //需要檢查的頁面就繼承BasePage
            if (true)
            {
                //繼續訪問
            }
            else
            {
                //跳轉登錄
            }
        }
    }

流程圖

這是一個通過繼承方式的解決方法,當我們頁面需要權限驗證的時候,只需要繼承我們的帶有驗證方法的BasePage,而不需要驗證的頁面,只需要繼承BasePageWithoutAuth,但是,當功能比較復雜的時候,用戶登錄還能用BasePage處理, 而異常處理,日志處理,緩存處理等這些可能這種方式就解決不了, 就必須在每個頁面內處理完成,這就導致了很多頁面重復出現了相同功能的代碼

 

filter與AOP

AOP(Aspect Oriented Programming)面向切面編程:在不破壞類型封裝的前提下,額外的添加功能.

filter即過濾器,是AOP思想在mvc中的一種具體實現,對於webform中出現的上述問題,在mvc框架中能夠用filter以AOP的方式解決,

過濾器是在執行某一個方法之前，先去執行其他的某些操作，當執行完成后再確定后續動作。相當於在我們具體方法的業務邏輯之外又額外的添加了一些功能,例如權限認證,異常處理,日志記錄等,我們可以把我們的業務邏輯與這些功能組合起來,而又不會被影響

 

filter之權限認證自定義擴展

上面說到過濾器filter可以實現請求方法前做權限校驗、登錄校驗等，比如說只有登錄的用戶才可以訪問這個方法，需要進行Session的校驗。如果有很多的控制器中的方法都需要校驗session,后期維護也是非常的不方便的，所以只需要將這種校驗放在Filter中就可以了。

 MVC框架自帶有默認權限認證的特性[Authorize]

namespace System.Web.Mvc
{
    //
    // 摘要:
    //     指定對控制器或操作方法的訪問只限於滿足授權要求的用戶。
    [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
    public class AuthorizeAttribute : FilterAttribute, IAuthorizationFilter
    {
        //
        // 摘要:
        //     初始化 System.Web.Mvc.AuthorizeAttribute 類的新實例。
        public AuthorizeAttribute();

        //
        // 摘要:
        //     獲取或設置有權訪問控制器或操作方法的用戶角色。
        //
        // 返回結果:
        //     有權訪問控制器或操作方法的用戶角色。
        public string Roles { get; set; }
        //
        // 摘要:
        //     獲取此特性的唯一標識符。
        //
        // 返回結果:
        //     此特性的唯一標識符。
        public override object TypeId { get; }
        //
        // 摘要:
        //     獲取或設置有權訪問控制器或操作方法的用戶。
        //
        // 返回結果:
        //     有權訪問控制器或操作方法的用戶。
        public string Users { get; set; }

        //
        // 摘要:
        //     在過程請求授權時調用。
        //
        // 參數:
        //   filterContext:
        //     篩選器上下文，它封裝有關使用 System.Web.Mvc.AuthorizeAttribute 的信息。
        //
        // 異常:
        //   T:System.ArgumentNullException:
        //     filterContext 參數為 null。
        public virtual void OnAuthorization(AuthorizationContext filterContext);
        //
        // 摘要:
        //     重寫時，提供一個入口點用於進行自定義授權檢查。
        //
        // 參數:
        //   httpContext:
        //     HTTP 上下文，它封裝有關單個 HTTP 請求的所有 HTTP 特定的信息。
        //
        // 返回結果:
        //     如果用戶已經過授權，則為 true；否則為 false。
        //
        // 異常:
        //   T:System.ArgumentNullException:
        //     httpContext 參數為 null。
        protected virtual bool AuthorizeCore(HttpContextBase httpContext);
        //
        // 摘要:
        //     處理未能授權的 HTTP 請求。
        //
        // 參數:
        //   filterContext:
        //     封裝有關使用 System.Web.Mvc.AuthorizeAttribute 的信息。filterContext 對象包括控制器、HTTP 上下文、請求上下文、操作結果和路由數據。
        protected virtual void HandleUnauthorizedRequest(AuthorizationContext filterContext);
        //
        // 摘要:
        //     在緩存模塊請求授權時調用。
        //
        // 參數:
        //   httpContext:
        //     HTTP 上下文，它封裝有關單個 HTTP 請求的所有 HTTP 特定的信息。
        //
        // 返回結果:
        //     對驗證狀態的引用。
        //
        // 異常:
        //   T:System.ArgumentNullException:
        //     httpContext 參數為 null。
        protected virtual HttpValidationStatus OnCacheAuthorization(HttpContextBase httpContext);
    }
}

但是框架的自帶東西有時候很難滿足我們的需要,在此基礎上我們可以繼承AuthorizeAttribute,然后復寫擴展(一般而言,帶有virtual關鍵字的,都可以復寫)

例如檢查請求地址是否帶有Account和Password的參數,值分別為Admin和123456,如果滿足,則可以繼續訪問,否則返回指定的路徑

    public class CustomerAuthorizeAttribute: AuthorizeAttribute
    {
        private string LoginUrl = string.Empty;
        public CustomerAuthorizeAttribute()
        {
            LoginUrl = "/Home/Login";
        }

        public CustomerAuthorizeAttribute(string loginUrl)
        {
            LoginUrl = loginUrl;
        }
        /// <summary>
        /// 請求進入具體action前,先執行OnAuthorization方法
        /// </summary>
        /// <param name="filterContext"></param>
        public override void OnAuthorization(AuthorizationContext filterContext)
        {
            //base.OnAuthorization(filterContext);
            //filterContext.HttpContext 能拿到HttpContext,意味着我們能拿到一切請求的信息
            if (filterContext.HttpContext.Request.QueryString["Account"]=="Admin"
                && filterContext.HttpContext.Request.QueryString["Password"] == "123456")
            {
                return;
            }
            else
            {
                filterContext.Result = new RedirectResult(LoginUrl);
            }
        }

    }

只需要在需要權限認證的方法上加上[CustomerAuthorizeFilter]特性即可.

這就是AOP的魅力所在,只用加上一個特性,就完成了一個驗證權限的功能,而且本身的業務邏輯封裝沒有一絲的破壞

 

Filter的三種注冊方式

1方法注冊

只給一個方法加權限認證的特性,那么就只會有特定的方法才會有權限驗證

2類注冊

給某個控制器加權限認證的特性,那么該控制器下所有的方法都有權限驗證,但是要注意死循環,如果驗證失敗返回的路徑也在該控制器下,那么會再次驗證,然后返回再驗證,一直重定向,最后重定向次數過多,頁面崩潰

   [CustomerAuthorize]//類注冊
    public class HomeController : Controller
    {
        [CustomerAuthorize("Home/About")]//方法注冊
        public ActionResult Index()
        {
            return View();
        }
   
        public ActionResult About()
        {
            ViewBag.Message = "Your application description page.";

            return View();
        }

        public ActionResult Contact()
        {
            ViewBag.Message = "Your contact page.";

            return View();
        }
  
        //此處若是類注冊,且為失敗返回的路徑,則會死循環
        public ActionResult Login()
        {
            ViewBag.Message = "Your Login page.";

            return View();
        }
    }

3全局注冊

在Global.asax全局配置文件里面,有過濾器的配置文件FilterConfig.cs,在App_Start目錄下,如果在這里面注冊上述的權限認證特性,則所有的頁面都會有權限驗證

    public class FilterConfig
    {
        public static void RegisterGlobalFilters(GlobalFilterCollection filters)
        {
            filters.Add(new CustomerAuthorizeAttribute());//全局注冊
            filters.Add(new HandleErrorAttribute());//全局異常處理
        }
    }

 

匿名登錄

如果我們類注冊了權限驗證特性,但是在該類下面有幾個需要匿名登陸的方法,那么是否意味着需要將這幾個方法移到其他的控制器呢?其實不然,我們只需要給這些方法加上AllowAnonymous特性,在上述自定義特性里面先判斷時候是否加了該特性即可.這里其實用什么做匿名特性都可以,只是AllowAnonymous是框架自帶的一個匿名特性,就直接用了,如果想用自定義的匿名特性,再創建一個特性就可以了,什么都不需要加,只是用於標記.

   if (filterContext.ActionDescriptor.IsDefined(typeof(AllowAnonymousAttribute),true))
            {
                return;
            }

 

出自:博客園-半路獨行

原文地址:https://www.cnblogs.com/banluduxing/p/9185182.html

本文出自於http://www.cnblogs.com/banluduxing 轉載請注明出處。

代碼地址:https://github.com/weiweu/My-space/tree/master/Design/DecoratorPattern