Asp.Net条件URL角色身份验证

Question

我想限制对特定URL的访问，除非用户是2个不同角色的成员。 在这种情况下，如果用户同时具有“报告和存档”角色，则只希望授予对该URL的访问权限。 有没有办法在ASP.net中做到这一点？

<location path="testpage.aspx">
<system.web>
  <authorization>
    <allow roles="Reporting, Archiving"/>
    <deny users="*"/>
  </authorization>
</system.web>

我想要这样的东西：

<location path="testpage.aspx">
<system.web>
  <authorization>
    <allow roles="Reporting & Archiving"/>
    <deny users="*"/>
  </authorization>
</system.web>

Answer 1

这有点丑陋，但是您可以从当前使用的角色提供程序（SqlRoleProvider，WindowsTokenRoleProvider，AuthorizationStoreRoleProvider）继承，重写GetRolesForUser，调用基本实现以获取角色，并根据需要在其中组合它们。 然后，显然将自定义角色提供程序放在<roleManager>配置部分的web.config中。

您只需要重写一个方法（也许可以重写GetUsersInRole）并根据需要将它们组合即可。

public override string[] GetRolesForUser( string username ) {
    List<string> roles = new List<string>( base.GetRolesForUser(username) );
    if( roles.Contains("Reporting") && roles.Contains("Archiving") ) {
        roles.Add("ReportingAndArchiving");
    }
    return roles.ToArray();
}

Answer 2

您可以创建一个SQL函数，该函数给出特定的用户ID，页面URL和允许的角色（XML）列表，并返回一个位，指示是否授予对该URL的访问权限，然后使用该位来设置一个标志，该标志确定在javascript或DHTML菜单等中将其显示为有效选择。

Answer 3

您可以实现自定义角色提供程序 。 然后，您可以定义新的“假”角色ReportingAndArchiving，并在请求ReportingAndArchiving角色时检查用户是否属于IsUserInRole方法内的Reporting and Archiving角色。