首页 文章

如何从ClaimsPrincipal中删除ClaimsIdentity

提问于
浏览
3

我有一个内置于ASP.Net MVC的HR Web应用程序,分为多个区域,例如Manager,Employee . 这些区域代表系统中能够执行不同任务的不同类型的用户 . 涉及遗留数据库,每种用户类型的信息存储在不同的表中 . 此外,为每种用户类型存储的信息类型也不同,因此表格是分开的 .

我希望实现基于声明的身份验证有以下几个原因:第一,在客户端上存储有关每个用户的详细信息(如用户名,角色等)会更容易 . 另一个原因是ClaimsPrincipal支持多个身份 . 这很重要,因为在某些情况下,单个人可能需要同时在多个身份下访问系统 . 例如 . Manager需要访问系统才能执行管理任务,但Manager也恰好是Employee,并且应该能够以Employee身份登录系统 . 每个区域都是单独处理的,因此即使用户既是管理员又是员工,他们必须分别登录到每个区域 .

所以这是我的问题:通过ClaimsPrincipal的多个身份是否可行?我还有其他一些技巧吗?如果要使用多个身份,如何将用户从一个区域中注销,但如果他们碰巧同时也登录到另一个区域,请让他们登录到另一个区域?通常,要注销,代码看起来像这样:

FederatedAuthentication.SessionAuthenticationModule.SignOut();

我的假设是,这将使用户退出这两个区域 . 它是否正确?假设是这种情况,我想我可以简单地从ClaimsPrincipal中删除特定的Identity,然后重置并编写SessionSecurityToken,但ClaimsPrincipal没有remove方法,只有AddIdentity . 所以我提出了以下伪代码:

注销时:

  • 在ClaimsPrincipal中计算身份数量

  • 如果count == 1正常退出

  • 如果count> 1,由于我们无法删除标识,循环标识并创建一个新的ClaimsPrincipal,排除我们要注销的标识,然后重置并写入SessionSecurityToken

我是在正确的轨道上吗?是否有一些很好的例子说明如何在ClaimsPrincipal中实现多个身份?我搜索过,虽然我发现了多个身份的简要提及,但我没有找到实际的例子 .

2 回答

  • 2

    建议:在您的特定情况下,我们可以有两个ClaimsPrincipal对象处理两个不同的ClaimsIdentity .

    var claims1 = new List<Claim>
                {
                    new Claim(ClaimTypes.Name, "Louise")
                   , new Claim(ClaimTypes.Role, "Manager")
                };
                ClaimsIdentity claimsIdentity1 = new ClaimsIdentity(claims1 ,"XYZ");
                ClaimsPrincipal principal1 = new ClaimsPrincipal(claimsIdentity1);
    
                var claims2 = new List<Claim>
                {
                    new Claim(ClaimTypes.Name, "Louise")
                   , new Claim(ClaimTypes.Role, "Employee")
                };
                ClaimsIdentity claimsIdentity2 = new ClaimsIdentity(claims2 ,"XYZ");
                ClaimsPrincipal principal2 = new ClaimsPrincipal(claimsIdentity2);
    
  • 2

    感觉你的问题可能是一个人为的问题:

    每个区域都是单独处理的,因此即使用户既是管理员又是员工,他们必须分别登录到每个区域 .

    推动这种分离的要求是什么?这是问题的症结所在,并且可能更容易解决这个问题,而不是试图为单个用户捏造具有多个身份的可行解决方案 .


    要回答您的直接问题,不,您不能从委托人中删除身份 . 您只能创建一个新的主体,并用您需要的任何声明集替换现有的主体 .

    Thread.CurrentPrincipal = new ClaimsPrincipal(...);
    

    如果您从现有主体的身份或声明构建主体,则可以过滤掉要删除的主体 .


    基于声明的身份验证的基础是将身份验证机制与授权机制分开的想法 . 您需要知道用户的身份时进行身份验证 . 授权时,使用与用户关联的声明来执行访问控制决策,例如将它们放入系统的管理区域 .

    在系统的上下文中,用户的身份应该是 who they are . 在大多数系统中,用户将具有单个身份 . 出于技术原因拥有多个身份可能很有用,例如允许用户将单个身份验证与多个可更改身份相关联的系统,但如果您为每个用户拥有单一身份,则通常系统最简单,因为现实是您有单个用户,通常会向您显示单个身份 .

    我只能想到用户登录具有多个身份的系统的一个合理原因: user 希望使用多个身份来操作以分离他们的活动,例如:工作帐户和个人帐户 .

    你的系统应该能够使用单一身份验证身份进行操作 . 如果您的经理需要通过额外的身份验证步骤才能访问管理部分,请不要尝试删除其现有身份 - 而是使用提升系统执行身份验证并将身份添加到其现有主体 . 用户没有更改,您刚刚获得了更多与他们相关的声明 .

相关问题