根据模型属性ASP.NET MVC授权用户

Question

我试图阻止用户删除，除非他们创建了模型。 （我的模型存储了其创建者的名称）现在，用户单击“删除”按钮，将其带到删除页面，然后单击“删除确认”按钮。 如何阻止尚未创建模型的用户删除模型？

我知道我可以使用Context.User.Identity.Name获取当前用户的名称

public ActionResult Delete(int? keyId)
{
     Task mydata = db.MyDatas.Find(keyId);
     ...
     return View(mydata);
}


[HttpPost, ActionName("Delete"), Authorize(Users = @"DOMAIN\Admin1 , DOMAIN\Bread")]
[ValidateAntiForgeryToken]
public ActionResult DeleteConfirmed(int keyId)
{
     Task mydata = db.MyDatas.Find(keyId);
     ...

Answer 1

这里有两个可行的答案：

登录用户的MVC访问限制

创建自定义AuthorizationFilter来封装该检查/逻辑。

或者，您可以将其构建到db.MyDatas.Find（keyId）;中。

也就是说，添加以下内容：

&&创建者== Context.User.Identity.Name

（如果它不返回对象，则当前用户无权删除它。）

Answer 2

您可以使用ActionFilters来解决问题：

  public override void OnActionExecuting(ActionExecutingContext filterContext)
    { 
    if((string)filterContext.RouteData.Values["action"]=="Delete") //check if its delete action
{
        if (db.MyDatas.Find(a=>a.ModelCreator.trim()==Context.User.Identity.Name.trim())==null)
        {
                Response.Redirect("~/Home"); //or whatever u want to give for unauthorized
        }

    }
}

请享用！

Answer 3

最简单的方法是使用SingleOrDefault代替同时根据用户Find和查询：

Task myData = db.MyDatas.SingleOrDefault(m => m.Id == keyId && m.CreatedBy == User.Identity.Name)

然后，用户只有创建了非空的东西，才会得到它。

Answer 4

您需要将要删除的模型记录实例传递到cshtml中，然后在cshtml中执行一些基本逻辑，例如{ if( Context.User.Identity.Name == model_var.user_that_created.Name){<a>Delete</a>}}