首页 > > 网络编程 > Asp.Net编程 >

MVC源码分析 - Authorize授权过滤器

2018-06-22 06:09:12来源：未知 阅读 ()

新老客户大回馈,云服务器低至5折

从 上一篇 其实能看到, 程序执行的过滤器, 有四种 : 

过滤器类型

接口

描述

Authorization

IAuthorizationFilter

此类型（或过滤器）用于限制进入控制器或控制器的某个行为方法

Exception

IExceptionFilter

用于指定一个行为，这个被指定的行为处理某个行为方法或某个控制器里面抛出的异常

Action

IActionFilter

用于进入行为之前或之后的处理

Result

IResultFilter

用于返回结果的之前或之后的处理

 

但是默认实现它们的过滤器只有三种，分别是Authorize（授权），ActionFilter，HandleError（错误处理）；各种信息如下表所示

过滤器

类名

实现接口

描述

ActionFilter

AuthorizeAttribute

IAuthorizationFilter

此类型（或过滤器）用于限制进入控制器或控制器的某个行为方法

HandleError

HandleErrorAttribute

IExceptionFilter

用于指定一个行为，这个被指定的行为处理某个行为方法或某个控制器里面抛出的异常

自定义

ActionFilterAttribute

IActionFilter和IResultFilter

用于进入行为之前或之后的处理或返回结果的之前或之后的处理

 

下面就来介绍一下这几种过滤器.

 

一、授权过滤器 Authorize

1. 方式一 : Controller类中的 OnAuthorization  方法

我们新建的控制器类里面, 都会直接或者间接继承自 Controller 类, 那么在Controller里面, 有一个 OnAuthorization 方法, 这个方法也是授权过滤器里面的.

// 摘要: 
//     定义授权筛选器所需的方法。
public interface IAuthorizationFilter
{
    // 摘要: 
    //     在需要授权时调用。
    //
    // 参数: 
    //   filterContext:
    //     筛选器上下文。
    void OnAuthorization(AuthorizationContext filterContext);
}

这种方式, 是不需要在 FilterConfig 文件中, 配置自己的过滤器的.

我先建一个特性, 只要方法加上此特性, 都是不需要登录验证的.

public class AllowLoginAttribute : Attribute
{
}

里面没有任何的内容, 也不需要什么内容.

然后就是过滤器方法了.

public class HomeController : Controller
{
    protected override void OnAuthorization(AuthorizationContext filterContext)
    {
        var attrs = filterContext.ActionDescriptor.GetCustomAttributes(typeof(AllowLoginAttribute), true);
        if (attrs.Count() > 0)
        {
            return;
        }
        var cookie = Request.Cookies["Login"];
        if (cookie == null || cookie.Value != "Already Login")
        {
　　　　　　　　//正如前面解析的, 只需要给Result赋值, 就可以影响MVC走的流程
            filterContext.Result = RedirectToAction("Login");
        }
    }
　　
　　 //此方法会给浏览器一个 Cookie, 用来识别是否已登录身份的
　　 //实际使用中, 可以做成登录页面, 要求登录, 然后给Cookie和Session
    [AllowLogin]
    public ActionResult Login()
    {
        HttpCookie cookie = new HttpCookie("Login", "Already Login");
        cookie.Expires = DateTime.Now.AddMinutes(3);
        Response.Cookies.Add(cookie);
        return View();
    }
　　
　　 //这里就是我想要访问的页面了
    public ActionResult Index()
    {
        return View();
    }
}

接下来, 我先直接访问Index页面看一下:

直接跳转到登陆页面了, 此时, 浏览器已经得到想要的Cookie了, 这时候, 再去访问Index页面看看.

成功访问.

由于这种方式是写在控制器里面的, 所以就只对控制器里面的方法有效, 也就是说, 如果此时我访问一个别的控制器, 这种方法就不起作用了. 

那么, 我是不是要在每个控制器里面写一遍? 或者我自己弄一个控制器父类, 让别的类来继承我写的类? 是不是有点太麻烦了了. 

肿么办呢? 方法就在下面

 

2. 方式二 : AuthorizeAttribute 的 OnAuthorization 方法

方法里面的内容和上面其实是一样的, 只不过这个方法存放的位置不一样.

但是有几个不一样的地方.

2.1 需要在FilterConfig中注册自己的过滤器

public class FilterConfig
{
    public static void RegisterGlobalFilters(GlobalFilterCollection filters)
    {
        filters.Add(new MyAuthAttribute());
        filters.Add(new HandleErrorAttribute());
    }
}

2.2 跳转的时候, 稍有不同

public class MyAuthAttribute : AuthorizeAttribute
{public override void OnAuthorization(AuthorizationContext filterContext)
    {
        var attrs = filterContext.ActionDescriptor.GetCustomAttributes(typeof(AllowLoginAttribute), true);
        if (attrs.Count() > 0)
        {
            return;
        }
        var cookie = HttpContext.Current.Request.Cookies["Login"];
        if (cookie == null || cookie.Value != "Already Login")
        {
            filterContext.Result = new RedirectToRouteResult(
　　　　　　　　　　new RouteValueDictionary(new { controller = "Home", action = "Login" }));
            return;
        }
    }
}

2.3 最好在Web.config文件中修改下配置.

<system.web>
    <authentication mode="Forms">
      <forms loginUrl="~/Home/Login" timeout="2880" />
    </authentication>
</system.web>

我自测过了, 是可以的. 结果就不贴了, 看不出什么别的. 和上面是一样的.

 

3. 方式三 : AuthorizeAttribute 的 AuthorizeCore 方法

这个方法就简单了, 只要返回false, 就回按照上面配置文件配置的去跳转. 一般都会将这里的 OnAuthorization 和 AuthorizeCore 方法一起用.

来看一下代码:

public class MyAuthAttribute : AuthorizeAttribute
{
　　 //在这个方法中, 我判断了用户是否已经登录
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        bool isAuth = httpContext.User.Identity.IsAuthenticated;
        return isAuth;
    }
　　 　　　　
　　 //在这个方法中, 我判断了 Action 是否需要 登录
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        var attrs = filterContext.ActionDescriptor.GetCustomAttributes(typeof(AllowLoginAttribute), true);
        if (attrs.Count() > 0)
        {
            return;
        }
        base.OnAuthorization(filterContext);
    }
}

然后要修改一下HomeController控制器中的Login方法.

[AllowLogin]
public ActionResult Login()
{
　　 //执行这个方法之后, Identity 的那里才能得到 true 
    FormsAuthentication.SetAuthCookie("Login", false);
    return View();
}

如果不想修改配置文件, 想在程序中完成自定义跳转, 可以重写 AuthorizeAttribute的 HandleUnauthorizedRequest方法, 如:

protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
{
    filterContext.HttpContext.Response.Redirect("~/Home/Login");
}

这个方法是处理权限验证不通过后的事情.

在使用这个过滤器的时候, 也是有两种方法的.

1). 可以像上面那样, 在FilterConfig文件中注册进去, 这样都会从这个过滤器走一遍.

2). 还有一种方式, 更加的灵活. 并不注册进去, 而是只在想要验证权限的方法上面加上特性, 别的方法并不受影响.

[MyAuth]
public ActionResult Index()
{
    return View();
}

这里只会对这一个方法进行权限验证, 因为我在方法上面标注了需要验证. 对于别的方法, 却不会进行权限验证, 非常的灵活.

目录已同步

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有

上一篇：MiniProfiler工具介绍

下一篇：MVC+EF 多条件查询

相关文章

IDC资讯： 主机资讯 注册资讯 托管资讯 vps资讯 网站建设

网站运营： 建站经验 策划盈利 搜索优化 网站推广 免费资源

网站联盟： 联盟新闻 联盟介绍 联盟点评 网赚技巧

行业资讯： 搜索引擎 网络游戏 电子商务 广告传媒

网络编程： Asp.Net编程 Asp编程 Php编程 Xml编程 Access Mssql Mysql 其它

服务器技术： Web服务器 Ftp服务器 Mail服务器 Dns服务器 安全防护

软件技巧： 其它软件 Word Excel Powerpoint Ghost Vista QQ空间 QQ FlashGet 迅雷

网页制作： FrontPages Dreamweaver Javascript css photoshop fireworks Flash

程序设计： Java技术 C/C++ VB delphi

网络知识： 网络协议 网络安全 网络管理 组网方案 Cisco技术

操作系统： Win2000 WinXP Win2003 Mac OS Linux FreeBSD

热门词条
最新资讯
热门关注
热门标签