授权具有多个角色的属性

我想一次为多个角色的控制器添加授权。

通常情况如下：

[Authorize(Roles = "RoleA,RoleB,RoleC")]
public async Task<ActionResult> Index()
{
}

但是我将我的角色存储在const中，因为它们有时可能会更改或扩展。

public const RoleA = "RoleA";
public const RoleB = "RoleB";
public const RoleC = "RoleC";

我不能这样做，因为必须在编译时知道该字符串：

[Authorize(Roles = string.join(",",RoleA,RoleB,RoleC)]
public async Task<ActionResult> Index()
{
}

有办法解决这个问题吗？

我可以编写一个仅包含“ RoleA，RoleB，RoleC”的const-但我不喜欢魔术字符串，这是一个魔术字符串。更改角色名称而忘记更改组合字符串将是一场灾难。

我正在使用MVC5。在编译时就知道ASP.NET身份和角色。

尝试像这样创建自定义授权属性。

public class AuthorizeRolesAttribute : AuthorizeAttribute
{
    public AuthorizeRolesAttribute(params string[] roles) : base()
    {
        Roles = string.Join(",", roles);
    }
}

假设多个控制器的角色相同，请创建一个帮助器类：

public static class Role
{
    public const string Administrator = "Administrator";
    public const string Assistant = "Assistant";
}

然后像这样使用它：

public class MyController : Controller
{
    [AuthorizeRoles(Role.Administrator, Role.Assistant)]
    public ActionResult AdminOrAssistant()
    {                       
        return View();
    }
}

确保您正在关闭自定义属性类，System.Web.Mvc.AuthorizeAttribute而不是NOT System.Web.Http.AuthorizeAttribute。

我遇到了同样的问题。更改后，一切正常。

您可能还需要将以下内容添加到自定义属性类中：

[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, Inherited = true, AllowMultiple = true)] 

我发现解决此问题的最好和最简单的方法就是在Authorize属性中串联角色。

[Authorize(Roles = CustomRoles.Admin + "," + CustomRoles.OtherRole)]

使用CustomRole一个具有常量字符串的类，如下所示：

public static class CustomRoles
{
    public const string Admin = "Admin";
    // and so on..
}

我所做的是@Tieson中的答案

我对他的回答做了些微调整。而不是字符串。为什么不将其转换为列表？

这是我的答案：

public class AuthorizeRolesAttribute : AuthorizeAttribute
{
    private new List<string> Roles;
    public AuthorizeRolesAttribute(params string[] roles) : base()
    {
        Roles = roles.toList()
    }
}

然后检查角色是否有效，覆盖OnAuthorization

public override void OnAuthorization(HttpActionContext actionContext)
{
            if (Roles == null)
                HandleUnauthorizedRequest(actionContext);
            else
            {
                ClaimsIdentity claimsIdentity = HttpContext.Current.User.Identity as ClaimsIdentity;
                string _role = claimsIdentity.FindFirst(ClaimTypes.Role).Value;
                bool isAuthorize = Roles.Any(role => role == _role);

                if(!isAuthorize)
                    HandleUnauthorizedRequest(actionContext);
            }
        }

一切就绪，现在可以验证角色是否有权访问资源

除非您有大量角色，否则我觉得自定义授权属性对于此问题来说是过大的。

由于必须在编译时就知道该字符串，所以为什么不创建一个静态的Role类，使其包含已定义角色的公共字符串，然后添加带有逗号的字符串以及要授权的某些角色：

public static class Roles
{
    public const string ADMIN = "Admin";
    public const string VIEWER = "Viewer";

    public const string ADMIN_OR_VIEWER = ADMIN + "," + VIEWER;
}

然后您可以像在Controller类或Controller方法（或两者）上一样使用Authorize Attribute：

[Authorize(Roles = Roles.ADMIN]
public class ExampleController : Controller
{
    [Authorize(Roles = Roles.ADMIN_OR_VIEWER)
    public ActionResult Create()
    {
        ..code here...
    }
}