web-dev-qa-db-ja.com

役割を動的に追加して、コントローラーの属性を承認します

新しいロールを作成し、それらのロールにアクセス許可を追加できるように、管理ユーザーがその場でユーザーのアクセス許可を変更できるようにする必要があります。

Authorize属性を作成して、データベースからロールを追加できるコントローラークラスの上に固定できるようにして、開発中にロールを「設定」する必要がないようにします[Authorize(Roles="Role1, Role2")]など。

[Authorize(Roles = GetListOfRoles()]のようなもの

私はこの質問を見つけました- ASP.NET MVC Authorize user with many roles これは似たようなことをしますが、これを変更してdbからパーミッション/ロールのリストを取得する方法がありますか？

c#asp.netasp.net-mvcasp.net-identityauthorize-attribute
21
barnacle.m

これは、そのユーザーの役割のアクセス許可に基づいてメソッドごとにユーザーを承認できる属性を取得する方法です。これが他の誰かに役立つことを願っています：

/// <summary>
/// Custom authorization attribute for setting per-method accessibility 
/// </summary>
[AttributeUsage(AttributeTargets.Method, AllowMultiple = false, Inherited = true)]
public class SetPermissionsAttribute : AuthorizeAttribute
{
    /// <summary>
    /// The name of each action that must be permissible for this method, separated by a comma.
    /// </summary>
    public string Permissions { get; set; }

    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        SalesDBContext db = new SalesDBContext();
        UserManager<ApplicationUser> userManager = new UserManager<ApplicationUser>(new UserStore<ApplicationUser>(new ApplicationDbContext()));
        ApplicationDbContext dbu = new ApplicationDbContext();

        bool isUserAuthorized = base.AuthorizeCore(httpContext);

        string[] permissions = Permissions.Split(',').ToArray();

        IEnumerable<string> perms = permissions.Intersect(db.Permissions.Select(p => p.ActionName));
        List<IdentityRole> roles = new List<IdentityRole>();

        if (perms.Count() > 0)
        {
            foreach (var item in perms)
            {
                var currentUserId = httpContext.User.Identity.GetUserId();
                var relatedPermisssionRole = dbu.Roles.Find(db.Permissions.Single(p => p.ActionName == item).RoleId).Name;
                if (userManager.IsInRole(currentUserId, relatedPermisssionRole))
                {
                    return true;
                }
            }
        }
        return false;
    }
}
17
barnacle.m

このようなものはどうですか：

[AttributeUsage(AttributeTargets.Method, AllowMultiple = false, Inherited = true)]
public class MyCustomAuthorizationAttribute : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        // Do some logic here to pull authorised roles from backing store (AppSettings, MSSQL, MySQL, MongoDB etc)
        ...
        // Check that the user belongs to one or more of these roles 
        bool isUserAuthorized = ....;

        if(isUserAuthorized) 
            return true;

        return base.AuthorizeCore(httpContext);
    }
}

データベースで使用するか、web.configで許可されたロールのリストを維持するだけです。

9
Mick Walker