web-dev-qa-db-ja.com

ASP.NET MVC - カスタムIIdentityまたはIPrincipalの設定

私はかなり簡単なことをする必要があります：私のASP.NET MVCアプリケーションで、私はカスタムIIdentity/IPrincipalを設定したいです。どちらか簡単な方が適しています。デフォルトを拡張して、User.Identity.IdやUser.Identity.Roleのようなものを呼び出せるようにします。派手なものは何もありません。

たくさんの記事や質問を読んだことがありますが、実際よりも難しくしているようです。簡単だろうと思いました。ユーザーがログオンしたら、カスタムIIdentityを設定したいです。だから私は思った、私は私のglobal.asaxにApplication_PostAuthenticateRequestを実装するつもりです。しかし、これはリクエストごとに呼び出されます。データベースからすべてのデータをリクエストしてカスタムIPrincipalオブジェクトに入れるようなリクエストごとにデータベースを呼び出すことはしたくありません。それはまた、非常に不必要で、遅く、そして間違った場所（そこではデータベース呼び出しをする）にあるようですが、私は間違っている可能性があります。それとも他のどこからそのデータが来るのでしょうか？

そのため、ユーザーがログインするたびに、セッションに必要な変数をいくつか追加でき、それをApplication_PostAuthenticateRequestイベントハンドラのカスタムIIdentityに追加できると思いました。しかし、私のContext.Sessionはそこにあるnullname__なので、これもまた不可能です。

私は今一日これに取り組んでいます、そして私は何かが足りないと感じます。難しいことではありませんよね。私もこれに付属しているすべての（半）関連のものによって少し混乱しています。 MembershipProvidername__、MembershipUsername__、RoleProvidername__、ProfileProvidername__、IPrincipalname__、IIdentityname__、FormsAuthenticationname __....これを見つけるのは私だけです。

誰かが私に、余分なあいまいなしにIIdentityにいくつかの余分なデータを格納するためのシンプルでエレガント、そして効率的な解決策を教えてくれるなら..それは素晴らしいことです！ SOについても同様の質問があることは知っていますが、必要な答えがそこにある場合は、見落としているはずです。

asp.netasp.net-mvcforms-authenticationiprincipaliidentity
630
Razzie

これが私のやり方です。

IIdentityとIPrincipalの両方を実装する必要がないという意味で、IIdentityの代わりにIPrincipalを使用することにしました。

  1. インターフェースを作成する

    interface ICustomPrincipal : IPrincipal
{
    int Id { get; set; }
    string FirstName { get; set; }
    string LastName { get; set; }
}

  2. CustomPrincipal

    public class CustomPrincipal : ICustomPrincipal
{
    public IIdentity Identity { get; private set; }
    public bool IsInRole(string role) { return false; }

    public CustomPrincipal(string email)
    {
        this.Identity = new GenericIdentity(email);
    }

    public int Id { get; set; }
    public string FirstName { get; set; }
    public string LastName { get; set; }
}

  3. CustomPrincipalSerializeModel - カスタム情報をFormsAuthenticationTicketオブジェクトのuserdataフィールドにシリアル化します。

    public class CustomPrincipalSerializeModel
{
    public int Id { get; set; }
    public string FirstName { get; set; }
    public string LastName { get; set; }
}

  4. LogInメソッド - カスタム情報を使ってクッキーを設定する

    if (Membership.ValidateUser(viewModel.Email, viewModel.Password))
{
    var user = userRepository.Users.Where(u => u.Email == viewModel.Email).First();

    CustomPrincipalSerializeModel serializeModel = new CustomPrincipalSerializeModel();
    serializeModel.Id = user.Id;
    serializeModel.FirstName = user.FirstName;
    serializeModel.LastName = user.LastName;

    JavaScriptSerializer serializer = new JavaScriptSerializer();

    string userData = serializer.Serialize(serializeModel);

    FormsAuthenticationTicket authTicket = new FormsAuthenticationTicket(
             1,
             viewModel.Email,
             DateTime.Now,
             DateTime.Now.AddMinutes(15),
             false,
             userData);

    string encTicket = FormsAuthentication.Encrypt(authTicket);
    HttpCookie faCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encTicket);
    Response.Cookies.Add(faCookie);

    return RedirectToAction("Index", "Home");
}

  5. Global.asax.cs - クッキーを読んでHttpContext.Userオブジェクトを置き換える。これはPostAuthenticateRequestをオーバーライドすることによって行われる

    protected void Application_PostAuthenticateRequest(Object sender, EventArgs e)
{
    HttpCookie authCookie = Request.Cookies[FormsAuthentication.FormsCookieName];

    if (authCookie != null)
    {
        FormsAuthenticationTicket authTicket = FormsAuthentication.Decrypt(authCookie.Value);

        JavaScriptSerializer serializer = new JavaScriptSerializer();

        CustomPrincipalSerializeModel serializeModel = serializer.Deserialize<CustomPrincipalSerializeModel>(authTicket.UserData);

        CustomPrincipal newUser = new CustomPrincipal(authTicket.Name);
        newUser.Id = serializeModel.Id;
        newUser.FirstName = serializeModel.FirstName;
        newUser.LastName = serializeModel.LastName;

        HttpContext.Current.User = newUser;
    }
}

  6. かみそりビューでのアクセス

    @((User as CustomPrincipal).Id)
@((User as CustomPrincipal).FirstName)
@((User as CustomPrincipal).LastName)

そしてコードで：

    (User as CustomPrincipal).Id
    (User as CustomPrincipal).FirstName
    (User as CustomPrincipal).LastName

コードは一目瞭然です。そうでない場合は、教えてください。

さらにアクセスを容易にするために、ベースコントローラを作成して返されたUserオブジェクト（HttpContext.User）をオーバーライドすることができます。

public class BaseController : Controller
{
    protected virtual new CustomPrincipal User
    {
        get { return HttpContext.User as CustomPrincipal; }
    }
}

そして、各コントローラに対して

public class AccountController : BaseController
{
    // ...
}

これにより、次のようなコードでカスタムフィールドにアクセスできます。

User.Id
User.FirstName
User.LastName

しかし、これはビュー内では機能しません。そのためには、カスタムWebViewPage実装を作成する必要があります。

public abstract class BaseViewPage : WebViewPage
{
    public virtual new CustomPrincipal User
    {
        get { return base.User as CustomPrincipal; }
    }
}

public abstract class BaseViewPage<TModel> : WebViewPage<TModel>
{
    public virtual new CustomPrincipal User
    {
        get { return base.User as CustomPrincipal; }
    }
}

Views/web.configでデフォルトのページタイプにします。

<pages pageBaseType="Your.Namespace.BaseViewPage">
  <namespaces>
    <add namespace="System.Web.Mvc" />
    <add namespace="System.Web.Mvc.Ajax" />
    <add namespace="System.Web.Mvc.Html" />
    <add namespace="System.Web.Routing" />
  </namespaces>
</pages>

ビューでは、このようにアクセスできます。

@User.FirstName
@User.LastName
820
LukeP

私はASP.NET MVCについて直接話すことはできませんが、ASP.NET Webフォームに関しては、ユーザーが認証されたらFormsAuthenticationTicketを作成し、それをCookieに暗号化することがトリックです。この方法では、データベースを1回（またはADまたは認証を実行するために使用しているものは何でも）呼び出すだけで済み、それ以降の各要求はcookieに格納されているチケットに基づいて認証されます。

これについての良い記事： http://www.ondotnet.com/pub/a/dotnet/2004/02/02/effectiveformsauth.html （リンク切れ）

編集：

上記のリンクが壊れているので、私は上記の彼の答えでLukePの解決策をお勧めします： https://stackoverflow.com/a/10524305 - 私も受け入れられた答えがそれに変えられることを提案しなさい。

編集2：リンク切れの代替策： https://web.archive.org/web/20120422011422/http://ondotnet .com/pub/a/dotnet/2004/02/02/effectiveformsauth.html

107
John Rasch

これは仕事を終わらせるための例です。 bool isValidはいくつかのデータストアを見ることによって設定されます（あなたのユーザデータベースを言ってみましょう）。 UserIDは私が管理している単なるIDです。 Eメールアドレスなどの追加情報をユーザーデータに追加できます。

protected void btnLogin_Click(object sender, EventArgs e)
{         
    //Hard Coded for the moment
    bool isValid=true;
    if (isValid) 
    {
         string userData = String.Empty;
         userData = userData + "UserID=" + userID;
         FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1, username, DateTime.Now, DateTime.Now.AddMinutes(30), true, userData);
         string encTicket = FormsAuthentication.Encrypt(ticket);
         HttpCookie faCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encTicket);
         Response.Cookies.Add(faCookie);
         //And send the user where they were heading
         string redirectUrl = FormsAuthentication.GetRedirectUrl(username, false);
         Response.Redirect(redirectUrl);
     }
}

golbal asaxに次のコードを追加してあなたの情報を取得してください

protected void Application_AuthenticateRequest(Object sender, EventArgs e)
{
    HttpCookie authCookie = Request.Cookies[
             FormsAuthentication.FormsCookieName];
    if(authCookie != null)
    {
        //Extract the forms authentication cookie
        FormsAuthenticationTicket authTicket = 
               FormsAuthentication.Decrypt(authCookie.Value);
        // Create an Identity object
        //CustomIdentity implements System.Web.Security.IIdentity
        CustomIdentity id = GetUserIdentity(authTicket.Name);
        //CustomPrincipal implements System.Web.Security.IPrincipal
        CustomPrincipal newUser = new CustomPrincipal();
        Context.User = newUser;
    }
}

後で情報を使用する予定の場合は、次のようにしてカスタムプリンシパルにアクセスできます。

(CustomPrincipal)this.User
or 
(CustomPrincipal)this.Context.User

これにより、カスタムユーザー情報にアクセスできます。

63
Sriwantha Attanayake

MVCはあなたのコントローラクラスからハングするOnAuthorizeメソッドを提供します。あるいは、カスタムアクションフィルタを使用して承認を実行することもできます。 MVCはそれをすることをかなり容易にします。これに関するブログ記事をここに投稿しました。 http://www.bradygaster.com/post/custom-authentication-with-mvc-3.0

15
brady gaster

ビューで使用するためにいくつかのメソッドを@Userに接続する必要がある場合の解決策は次のとおりです。本格的な会員のカスタマイズのための解決策はありませんが、意見だけで元の質問が必要な場合は、これで十分でしょう。以下はauthorizefilterから返された変数をチェックするために使用され、リンクが表示されるべきかどうかを確認するために使用されます（いかなる種類の認可ロジックやアクセス許可にも使用されません）。

using System;
    using System.Collections.Generic;
    using System.Linq;
    using System.Web;
    using System.Security.Principal;

    namespace SomeSite.Web.Helpers
    {
        public static class UserHelpers
        {
            public static bool IsEditor(this IPrincipal user)
            {
                return null; //Do some stuff
            }
        }
    }

次に、単にエリアweb.configに参照を追加し、ビューの下のように呼び出します。

@User.IsEditor()
10
Base

LukePの答え に基づき、timeoutとrequireSSLをWeb.configと連携させるためのいくつかのメソッドを追加します。

参照リンク

LukePの修正コード

1、Web.Configに基づいてtimeoutを設定します。 FormsAuthentication.Timeout は、web.configで定義されているタイムアウト値を取得します。私は以下をticketを返す関数としてラップしました。

int version = 1;
DateTime now = DateTime.Now;

// respect to the `timeout` in Web.config.
TimeSpan timeout = FormsAuthentication.Timeout;
DateTime expire = now.Add(timeout);
bool isPersist = false;

FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(
     version,          
     name,
     now,
     expire,
     isPersist,
     userData);

2、RequireSSL設定に基づいて、クッキーを安全にするかどうかを設定します。

HttpCookie faCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encTicket);
// respect to `RequreSSL` in `Web.Config`
bool bSSL = FormsAuthentication.RequireSSL;
faCookie.Secure = bSSL;
3
AechoLiu

大丈夫です、だから私はこの非常に古い質問を引きずってここに真面目な暗号管理者ですが、これに対するずっと簡単なアプローチがあります。そしてそれはC＃拡張メソッドとキャッシングの組み合わせを使うことです（セッションを使わないでください）。

実際、Microsoftは Microsoft.AspNet.Identity.IdentityExtensions 名前空間でそのような拡張機能をすでにいくつか提供しています。たとえば、GetUserId()はユーザーIDを返す拡張メソッドです。 IPrincipalに基づいてクレームを返すGetUserName()およびFindFirstValue()もあります。

したがって、名前空間を含めるだけでよく、次にASP.NET IDで構成されているユーザー名を取得するためにUser.Identity.GetUserName()を呼び出します。

これがキャッシュされているかどうかは定かではありません。古いASP.NET IDはオープンソースではないため、リバースエンジニアリングを行うことに煩わされていません。しかし、そうでない場合は、独自の拡張方法を書くことができます。これはこの結果を一定期間キャッシュします。

3
Erik Funkenbusch

ページの背後にあるコードでのアクセスを簡単にしたい場合は、Webフォームユーザー（MVCではなく）のLukePコードに追加して、以下のコードをベースページに追加し、すべてのページでベースページを派生させるだけです。

Public Overridable Shadows ReadOnly Property User() As CustomPrincipal
    Get
        Return DirectCast(MyBase.User, CustomPrincipal)
    End Get
End Property

したがって、背後にあるコードでは、単純にアクセスできます。

User.FirstName or User.LastName

Webフォームのシナリオで欠けているのは、ページに結び付けられていないコードで同じ動作を取得する方法です。たとえば、httpmodulesの場合は常に各クラスにキャストを追加するか、これを取得するためのよりスマートな方法はありますか？

私のカスタムユーザのベースとしてあなたの例を使ったので、あなたの答えとLukePに感謝します（現在はUser.Roles、User.Tasks、User.HasPath(int)、User.Settings.Timeoutおよび他の多くの素晴らしいものを持っています）

2
Manight

私はLukePが提案した解決策を試してみましたが、それがAuthorize属性をサポートしていないことがわかりました。それで、私はそれを少し修正しました。

public class UserExBusinessInfo
{
    public int BusinessID { get; set; }
    public string Name { get; set; }
}

public class UserExInfo
{
    public IEnumerable<UserExBusinessInfo> BusinessInfo { get; set; }
    public int? CurrentBusinessID { get; set; }
}

public class PrincipalEx : ClaimsPrincipal
{
    private readonly UserExInfo userExInfo;
    public UserExInfo UserExInfo => userExInfo;

    public PrincipalEx(IPrincipal baseModel, UserExInfo userExInfo)
        : base(baseModel)
    {
        this.userExInfo = userExInfo;
    }
}

public class PrincipalExSerializeModel
{
    public UserExInfo UserExInfo { get; set; }
}

public static class IPrincipalHelpers
{
    public static UserExInfo ExInfo(this IPrincipal @this) => (@this as PrincipalEx)?.UserExInfo;
}


    [HttpPost]
    [AllowAnonymous]
    [ValidateAntiForgeryToken]
    public async Task<ActionResult> Login(LoginModel details, string returnUrl)
    {
        if (ModelState.IsValid)
        {
            AppUser user = await UserManager.FindAsync(details.Name, details.Password);

            if (user == null)
            {
                ModelState.AddModelError("", "Invalid name or password.");
            }
            else
            {
                ClaimsIdentity ident = await UserManager.CreateIdentityAsync(user, DefaultAuthenticationTypes.ApplicationCookie);
                AuthManager.SignOut();
                AuthManager.SignIn(new AuthenticationProperties { IsPersistent = false }, ident);

                user.LastLoginDate = DateTime.UtcNow;
                await UserManager.UpdateAsync(user);

                PrincipalExSerializeModel serializeModel = new PrincipalExSerializeModel();
                serializeModel.UserExInfo = new UserExInfo()
                {
                    BusinessInfo = await
                        db.Businesses
                        .Where(b => user.Id.Equals(b.AspNetUserID))
                        .Select(b => new UserExBusinessInfo { BusinessID = b.BusinessID, Name = b.Name })
                        .ToListAsync()
                };

                JavaScriptSerializer serializer = new JavaScriptSerializer();

                string userData = serializer.Serialize(serializeModel);

                FormsAuthenticationTicket authTicket = new FormsAuthenticationTicket(
                         1,
                         details.Name,
                         DateTime.Now,
                         DateTime.Now.AddMinutes(15),
                         false,
                         userData);

                string encTicket = FormsAuthentication.Encrypt(authTicket);
                HttpCookie faCookie = new HttpCookie(FormsAuthentication.FormsCookieName, encTicket);
                Response.Cookies.Add(faCookie);

                return RedirectToLocal(returnUrl);
            }
        }
        return View(details);
    }

そして最後にGlobal.asax.csに

    protected void Application_PostAuthenticateRequest(Object sender, EventArgs e)
    {
        HttpCookie authCookie = Request.Cookies[FormsAuthentication.FormsCookieName];

        if (authCookie != null)
        {
            FormsAuthenticationTicket authTicket = FormsAuthentication.Decrypt(authCookie.Value);
            JavaScriptSerializer serializer = new JavaScriptSerializer();
            PrincipalExSerializeModel serializeModel = serializer.Deserialize<PrincipalExSerializeModel>(authTicket.UserData);
            PrincipalEx newUser = new PrincipalEx(HttpContext.Current.User, serializeModel.UserExInfo);
            HttpContext.Current.User = newUser;
        }
    }

これで、ビューとコントローラのデータに簡単にアクセスできます。

User.ExInfo()

ログアウトするには

AuthManager.SignOut();

authManagerはどこにありますか

HttpContext.GetOwinContext().Authentication
0
Vasily Ivanov