覆盖ASP.NET Core MVC 1.0中的全局授权过滤器

2 回答

• 1

  您需要稍微使用框架，因为您的全局策略比您想要应用于特定控制器和操作的策略更具限制性：

  • 默认情况下，只有管理员用户可以访问您的应用程序

  • 特定角色也将被授予对某些控制器的访问权限（例如访问 UsersController 的UserManagers）

  正如您已经注意到的那样，拥有全局过滤器意味着只有Admin用户才能访问控制器 . 在 UsersController 上添加其他属性时，只有 both Admin and UserManager的用户才能访问 .

  可以使用与MVC 5类似的方法，但它以不同的方式工作 .

  • 在MVC 6中，[Authorize]属性不包含授权逻辑 .

  • 而AuthorizeFilter是具有 OnAuthorizeAsync 方法调用授权服务以确保满足策略的方法 .

  • 特定IApplicationModelProvider用于为每个具有 [Authorize] 属性的控制器和操作添加 AuthorizeFilter .

  ---

  一个选项可能是重新创建 IsAdminOrAuthorizeAttribute ，但这次是 AuthorizeFilter ，然后您将添加为全局过滤器：

  public class IsAdminOrAuthorizeFilter : AuthorizeFilter
  {
      public IsAdminOrAuthorizeFilter(AuthorizationPolicy policy): base(policy)
      {
      }
  
      public override Task OnAuthorizationAsync(Microsoft.AspNetCore.Mvc.Filters.AuthorizationFilterContext context)
      {
          // If there is another authorize filter, do nothing
          if (context.Filters.Any(item => item is IAsyncAuthorizationFilter && item != this))
          {
              return Task.FromResult(0);
          }
  
          //Otherwise apply this policy
          return base.OnAuthorizationAsync(context);
      }        
  }
  
  services.AddMvc(opts => 
  {
      opts.Filters.Add(new IsAdminOrAuthorizeFilter(new AuthorizationPolicyBuilder().RequireRole("admin").Build()));
  });
  

  仅当控制器/操作没有特定的 [Authorize] 属性时，才会应用全局过滤器 .

  ---

  您还可以通过在生成要应用于每个控制器和操作的过滤器的过程中注入自己来避免使用全局过滤器 . 您可以添加自己的 IApplicationModelProvider 或您自己的 IApplicationModelConvention . 两者都允许您添加/删除特定的控制器和操作过滤器 .

  例如，您可以定义默认授权策略和其他特定策略：

  services.AddAuthorization(opts =>
  {
      opts.DefaultPolicy = new AuthorizationPolicyBuilder().RequireAuthenticatedUser().RequireRole("admin").Build();
      opts.AddPolicy("Users", policy => policy.RequireAuthenticatedUser().RequireRole("admin", "users"));
  });
  

  然后你可以创建一个新的 IApplicatioModelProvider ，它将默认策略添加到没有自己的 [Authorize] 属性的每个控制器（应用程序约定非常相似，可能更符合框架的扩展方式 . 我只是快速使用现有的 AuthorizationApplicationModelProvider 作为指南）：

  public class OverridableDefaultAuthorizationApplicationModelProvider : IApplicationModelProvider
  {
      private readonly AuthorizationOptions _authorizationOptions;
  
      public OverridableDefaultAuthorizationApplicationModelProvider(IOptions<AuthorizationOptions> authorizationOptionsAccessor)
      {
          _authorizationOptions = authorizationOptionsAccessor.Value;
      }
  
      public int Order
      {
          //It will be executed after AuthorizationApplicationModelProvider, which has order -990
          get { return 0; }
      }
  
      public void OnProvidersExecuted(ApplicationModelProviderContext context)
      {
          foreach (var controllerModel in context.Result.Controllers)
          {
              if (controllerModel.Filters.OfType<IAsyncAuthorizationFilter>().FirstOrDefault() == null)
              {
                  //default policy only used when there is no authorize filter in the controller
                  controllerModel.Filters.Add(new AuthorizeFilter(_authorizationOptions.DefaultPolicy));
              }
          }
      }
  
      public void OnProvidersExecuting(ApplicationModelProviderContext context)
      {            
          //empty    
      }
  }
  
  //Register in Startup.ConfigureServices
  services.TryAddEnumerable(
      ServiceDescriptor.Transient<IApplicationModelProvider, OverridableDefaultAuthorizationApplicationModelProvider>());
  

  有了这个，默认策略将用于这两个控制器：

  public class FooController : Controller
  
  [Authorize]
  public class BarController : Controller
  

  此处将使用特定的用户策略：

  [Authorize(Policy = "Users")]
  public class UsersController : Controller
  

  请注意，您仍需要将admin角色添加到每个策略，但至少所有策略都将在单个启动方法中声明 . 您可以创建自己的方法来构建始终添加管理角色的策略 .

  回复于 2024-05-05T03:49:15+08:00
• 31

  在每个调用的上下文中使用@Daniel 's solution I ran into the same issue mentioned by @TarkaDaal in the comment (there' s 2 AuthorizeFilter ...不太确定它们来自哪里） .

  所以我的解决方法如下：

  public class IsAdminOrAuthorizeFilter : AuthorizeFilter
  {
      public IsAdminOrAuthorizeFilter(AuthorizationPolicy policy): base(policy)
      {
      }
  
      public override Task OnAuthorizationAsync(Microsoft.AspNet.Mvc.Filters.AuthorizationContext context)
      {
          if (context.Filters.Any(f =>
          {
              var filter = f as AuthorizeFilter;
              //There's 2 default Authorize filter in the context for some reason...so we need to filter out the empty ones
              return filter?.AuthorizeData != null && filter.AuthorizeData.Any() && f != this;
          }))
          {
              return Task.FromResult(0);
          }
  
          //Otherwise apply this policy
          return base.OnAuthorizationAsync(context);
      }        
  }
  
  services.AddMvc(opts => 
  {
      opts.Filters.Add(new IsAdminOrAuthorizeFilter(new AuthorizationPolicyBuilder().RequireRole("admin").Build()));
  });
  

  这很难看，但它适用于这种情况，因为如果你仍然需要 new AuthorizationPolicyBuilder().RequireRole("admin").Build() 过滤器来处理它 .

  回复于 2024-05-05T03:49:15+08:00