Web API的ASP.Net MVC自定义授权

Question

我有一个复杂的应用程序，其中包含许多Web Api调用，这些调用需要数据库中的权限检查。 我可能有一个简单的api调用示例：

[HttpGet]
    public IEnumerable<StudentContact> GetStudentContacts(int id)
    {
        return db.StudentContacts.AsNoTracking().Where(n => n.StudentId == id && n.Current_Record == true).OrderBy(n => n.RankOrder);
    }

要进行权限检查，我必须执行以下操作：

int staffID = (User as CustomPrincipal).UserId;
int siteId = Functions.GetSiteIdFromCookie();
if (Functions.UserHasAccess(staffID, AccessLevels.access_StudentDetailsUpdate,siteId) == true) return true;
else return false;

我想要实现的是创建一个自定义授权批注，以便可以拥有：

[HttpGet]
[PermissionAuth(AccessLevels.access_StudentDetailsUpdate,AccessLevels.access_StudentDetailsReadOnly)]
public IEnumerable......

我可能需要选择一个和/或两个都是正确的或一个是正确的。 有人可以帮忙吗？

Answer 1

这可以通过扩展AuthorizeAttribute并覆盖IsAuthorized方法来实现。 您需要以下内容。

public class PermissionAuthAttribute : AuthorizeAttribute
{
    private readonly List<string> _accessLevels;


    public PermissionAuth(params string[] accessLevels)
    {
         _accessLevels = accessLevels.ToList();
    }

    protected override bool IsAuthorized(HttpActionContext actionContext)
    {
        if (!base.IsAuthorized(actionContext))
        {
            return false;
        }
        int staffID = (User as CustomPrincipal).UserId;
        int siteId = Functions.GetSiteIdFromCookie();
        if (Functions.UserHasAccess(staffID, AccessLevels.access_StudentDetailsUpdate,siteId) == true) { 
            return true;
        }
        else {
            return false
        };
    }
}

然后在您的方法上方使用[PermissionAuth(/*permissions here*/)]