如何使[Authorize]属性更加灵活？

Question

我有一个MVC 5应用程序，通过仅允许某些经过身份验证的用户可以访问我的控制器中的特定操作来锁定它。 我利用类顶部的authorize属性仅允许我想要在登录后获得访问权限的用户。 我通过将以下属性放在班级顶部来进行此操作...

[Authorize(Users="user1,user2")]

这很棒！ 但是，如果我不想每次要向该特定控制器添加新用户时都重新编译和部署应用程序，该怎么办？

我以为我可以将它添加到我的web.config文件中，作为这样的键...

<appSettings>
  <add users="user1,user2"/>
</appSettings>

但是，当我尝试像这样在控制器中访问此键时：[Authorize（Users = ConfigurationManager.AppSettings [“ users”]）]我收到错误消息：无法解析符号'AppSettings'。

有没有办法做到这一点？

Answer 1

代替使用Users参数，请使用Roles参数。

[Authorize(Roles="CanExecuteActions")]

现在，您可以通过授予该角色来管理哪些用户可以访问您的控制器。 没有角色的任何用户都无法执行控制器的任何操作。

Answer 2

我不确定为什么未回答该问题的答案被接受。 无论如何，我认为为任何未来的旅行者添加答案都是值得的。

虽然没有立即提供此功能，但是通过编写自己的authorize属性当然可以实现。

public class ConfigAuthorize : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        var allowedUsers = ConfigurationManager.AppSettings["CoolActionAllowedUsers"];
        var allowedUsersArray = allowedUsers.Split(',');

        if (httpContext.User.Identity != null && allowedUsersArray.Contains(httpContext.User.Identity.Name))
        {
            return true;
        }

        return false;
    }
}

并使用该属性：

[ConfigAuthorize]
public ActionResult CoolAction() {
    //...
}

在上面的代码中，当您在AuthorizeCore执行AuthorizeCore ，来自CoolActionAllowedUsers的配置值将被拉入内存，并且如果当前经过身份验证的用户在允许的用户列表中，则将对其进行验证。 如果您对配置文件进行更改，将不会有问题； 应用程序池将自动重新启动，并且下次代码运行以读取配置文件时，将读取新值。

我完全同意@Shoe的观点，认为应该使用角色。 在您的代码中管理用户列表只是一个麻烦。 实际上，在工作中，每当我收到一个只要求随机用户访问页面的请求时，我总是需要设置一个组。 但是，上面的代码也可以应用于角色列表。