ASP.NET Core 中 繼承的是AuthorizationHandler ,而ASP.NET Framework 中繼承的是AuthorizeAttribute.
它們都是用過重寫里面的方法實現過濾請求的。
現在我們實現如何在 ASP.NET Core MVC 實現自定義授權。
關於AuthorizationHandler 詳細介紹可以看這里
如何自定義授權
比如我們后台有個博客管理功能，那我們可以新建一個Blog的控制器，比如BlogController
里面有添加,刪除,編輯等功能,分別是Add,Delete,Edit
代碼如下
public class BlogController : Controller
{
public IActionResult Index()
{
return View();
}
/// <summary>
/// 博客添加頁面
/// </summary>
/// <returns></returns>
public IActionResult Add()
{
return View();
}
/// <summary>
/// 博客列表頁面
/// </summary>
public IActionResult List()
{
return View();
}
/// <summary>
/// 博客編輯頁面
/// </summary>
public IActionResult Edit()
{
return View();
}
}
如果有打印可以起個名字叫 public IActionResult Print()
自定義就是做個控制界面做勾選功能,用戶根據自身業務選擇。
以此類推，在ASP.NET 框架下默認路由就是Controller和Action,除非你修改默認路由,當然了你修改默認路由你的權限邏輯也得變。
實現過濾器
AuthorizationHandler 參數里面有個IAuthorizationRequirement要我們去填充，根據我們自己業務自己選擇定義數據。
public class PermissionRequirement : IAuthorizationRequirement
{
/// <summary>
/// 無權限action
/// </summary>
public string DeniedAction { get; set; } = "/Home/visitDeny";
/// <summary>
/// 認證授權類型
/// </summary>
public string ClaimType { internal get; set; }
/// <summary>
/// 默認登錄頁面
/// </summary>
public string LoginPath { get; set; } = "/Home/Login";
/// <summary>
/// 過期時間
/// </summary>
public TimeSpan Expiration { get; set; }
/// <summary>
/// 構造
/// </summary>
/// <param name="deniedAction"></param>
/// <param name="claimType"></param>
/// <param name="expiration"></param>
public PermissionRequirement(string deniedAction, string claimType, TimeSpan expiration)
{
ClaimType = claimType;
DeniedAction = deniedAction;
Expiration = expiration;
}
}
第一個參數集合
public class PermissionItem
{
/// <summary>
/// 用戶或角色或其他憑據名稱
/// </summary>
public virtual string Role { get; set; }
/// <summary>
/// 配置的Controller名稱
/// </summary>
public virtual string controllerName { get; set; }
/// <summary>
/// 配置的Action名稱
/// </summary>
public virtual string actionName { get; set; }
}
Startup 里面，添加一個授權策略，PermissionRequirement 放進去，然后注入
////權限要求參數
var permissionRequirement = new PermissionRequirement(
"/Home/visitDeny",// 拒絕授權的跳轉地址
ClaimTypes.Name,//基於用戶名的授權
expiration: TimeSpan.FromSeconds(60 * 5)//接口的過期時間
);
#endregion
//【授權】
services.AddAuthorization(options =>
{
options.AddPolicy("Permission", policy => policy.Requirements.Add(permissionRequirement));
});
// 注入權限處理器
services.AddTransient<IAuthorizationHandler, PermissionHandler>();
控制器里面加上標示
[Authorize("Permission")]
public class BlogController : Controller
{
}
登錄頁面授權
[HttpPost]
public async Task<IActionResult> Login(LoginViewModel model)
{
if (ModelState.IsValid)
{
if (model.textUser == null)
{
ModelState.AddModelError("", "請輸入賬號.");
return View(model);
}
if (model.textPassword == null)
{
ModelState.AddModelError("", "請輸入密碼.");
return View(model);
}
if (model.textUser == "admin" && model.textPassword == "123")
{
#region 傳統的登錄
//只判斷是否登錄 通過[Authorize] 小項目中只有一個管理員 只要賬號和密碼對就行
var claimIdentity = new ClaimsIdentity(CookieAuthenticationDefaults.AuthenticationScheme);
claimIdentity.AddClaim(new Claim(ClaimTypes.Name, model.textUser));
var claimsPrincipal = new ClaimsPrincipal(claimIdentity);
//await HttpContext.SignInAsync(claimsPrincipal);
await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, claimsPrincipal);
#endregion
//下面代碼是演示的，實際項目要從根據用戶名或者角色從數據庫讀取出來 配置到 List<PermissionItem>里面
//這里我用的是用戶名判斷的,根據自己的業務自己處理
//測試的時候 可以 刪除一條記錄試試,或者添加一條
List<PermissionItem> lsperm = new List<PermissionItem>();
lsperm.Add(new PermissionItem() { Role = model.textUser, controllerName = "Blog", actionName = "Add" });//添加博客頁面的權限
lsperm.Add(new PermissionItem() { Role = model.textUser, controllerName = "Blog", actionName = "Edit" });//編輯博客頁面的權限
lsperm.Add(new PermissionItem() { Role = model.textUser, controllerName = "Blog", actionName = "List" });//查看博客頁面的權限
string perData = JsonConvert.SerializeObject(lsperm);
await _cacheService.SetStringAsync("perm" + model.textUser, perData);
return RedirectToAction("Index", "Home");
}
}
return View(model);
}
List<PermissionItem> 我用Redis存儲的，大家根據實際情況存儲。
權限判斷
public class PermissionHandler : AuthorizationHandler<PermissionRequirement>
{
public IAuthenticationSchemeProvider Schemes;
readonly IDistributedCache _cacheService;
/// <summary>
/// 構造函數注入
/// </summary>
public PermissionHandler(IAuthenticationSchemeProvider schemes, IDistributedCache cacheService)
{
Schemes = schemes;
_cacheService = cacheService;
}
// 重載異步處理程序
protected override async Task HandleRequirementAsync(AuthorizationHandlerContext context, PermissionRequirement requirement)
{
//從AuthorizationHandlerContext轉成HttpContext，以便取出表求信息
AuthorizationFilterContext filterContext = context.Resource as AuthorizationFilterContext;
HttpContext httpContext = filterContext.HttpContext;
AuthenticateResult result = await httpContext.AuthenticateAsync(Schemes.GetDefaultAuthenticateSchemeAsync().Result.Name);
//如果沒登錄result.Succeeded為false
if (result.Succeeded)
{
httpContext.User = result.Principal;
//當前訪問的Controller
string controllerName = filterContext.RouteData.Values["Controller"].ToString();//通過ActionContext類的RouteData屬性獲取Controller的名稱：Home
//當前訪問的Action
string actionName = filterContext.RouteData.Values["Action"].ToString();//通過ActionContext類的RouteData屬性獲取Action的名稱：Index
string name = httpContext.User.Claims.SingleOrDefault(s => s.Type == ClaimTypes.Name)?.Value;
string perData = await _cacheService.GetStringAsync("perm" + name);
List<PermissionItem> lst = JsonConvert.DeserializeObject<List<PermissionItem>>(perData);
if (lst.Where(w => w.controllerName == controllerName && w.actionName == actionName).Count() > 0)
{
//如果在配置的權限表里正常走
context.Succeed(requirement);
}
else
{
//不在權限配置表里 做錯誤提示
//如果是AJAX請求 (包含了VUE等 的ajax)
string requestType = filterContext.HttpContext.Request.Headers["X-Requested-With"];
if (!string.IsNullOrEmpty(requestType) && requestType.Equals("XMLHttpRequest", StringComparison.CurrentCultureIgnoreCase))
{
//ajax 的錯誤返回
//filterContext.Result = new StatusCodeResult(499); //自定義錯誤號 ajax請求錯誤 可以用來錯沒有權限判斷 也可以不寫 用默認的
context.Fail();
}
else
{
//普通頁面錯誤提示 就是跳轉一個頁面
//httpContext.Response.Redirect("/Home/visitDeny");//第一種方式跳轉
filterContext.Result = new RedirectToActionResult("visitDeny", "Home", null);//第二種方式跳轉
context.Fail();
}
}
}
else
{
context.Fail();
}
}
}
至此我們實現定義授權判斷。實際業務上每個人可以根據自己的情況做處理。