浅谈权限控制

ASP.NET权限控制

这两周一直在给公司做官网，现在已经做好了。趁着周末有时间来梳理一下用到的主要知识点。其实核心技术就两点，第一就是后台权限控制，第二就是前台页面静态化（包括分页列表的静态化）。

第一步：后台权限数据表的建立

现在首先把我想到的权限控制的思路整理一下。权限控制本质是对访问的url路径的控制。本着这个思想我就形成了我的权限控制方法。这其中主要用到了四张表。如下图所示：

第一张表节点表，也就是你所建立的aspx文件的路径。这张表以父Id的形式递归展示。由于我的针对一个实体的CURD操作是通过如下形式进行的（显示和删除对应的文件格式是：../**List.aspx。增加和修改对应的文件格式是：../**Editor.aspx。），所以权限只能控制到实体而不能控制到CURD。

第二张表是角色表，角色和节点是多对多的关系。角色和用户是一对多的关系。现在有些权限控制角色和用户是多对多的关系。所以我这个权限控制的方法有些弊端。

第三张表是权限表。节点集合角色共同决定权限。

第四张表是用户表。我实际上是给角色分配权限。而用户又属于角色。所以用户可以获得对应角色的权限，进行登录后台。

第二步：网站后台对应表实体的创建，如下图：

第三步：后台其他文件的创建：

第四步：在节点表中将上图所有文件路径当作节点插入到节点表中，注意层次关系。如下图：

第五步：在角色列表中，给角色分配权限。实际上就是选择上图中的节点。如下图：

点击分配权限（先加载节点表中的所有节点，如果当前角色已经分配了权限，则先加载对应的权限），如下图：

第六步：在添加用户时会让选择对应的权限。到此时已经完全给用户分配了权限，接下来我们要将如何根据权限控制用户访问。

第七步：当用户登录时，根据用户的id获得对应的角色，从而获得对应的权限。根据权限递归生成左侧菜单树。因此左侧菜单栏也是根据权限动态绑定的。代码如下：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Web;
using System.Web.UI;
using System.Web.UI.WebControls;

public partial class Admin_Default : System.Web.UI.Page
{
    
    protected string tree = "";
    protected string loginName = "";
    protected string admin = "";
    protected void Page_Load(object sender, EventArgs e)
    {
        var user= LoginValidate.Intance.ChekLogin();
        var role=  ZXJB.DAL.DALFactory.RoleInfo.GetEntitys(c => c.RoleId == user.RoleId).FirstOrDefault();

        loginName = user.LoginName;
        admin =role.RoleName+" ["+ user.LoginName+"]";
        var rights= ZXJB.DAL.DALFactory.RightInfo.GetEntitys(c => c.RoleId == user.RoleId);

        List<ZXJB.Model.T_Node> nodes = new List<ZXJB.Model.T_Node>();//获得用户对应的所有节点
        foreach (var item in rights)
        {
            nodes.Add(ZXJB.DAL.DALFactory.NodeInfo.GetEntitys(c => c.NodeId == item.NodeId).FirstOrDefault());
        }
        nodes = nodes.OrderByDescending(c => c.SortId).ToList();
        tree = BindTreeView(0,nodes, "");
    }
    //递归生成权限
    string BindTreeView(int parent,List<ZXJB.Model.T_Node> nodes, string str)
    {

        StringBuilder sb = new StringBuilder();

        var childs = nodes.Where(c => c.ParentNodeId == parent).ToList(); //ZXJB.DAL.DALFactory.NodeInfo.GetEntitys(c => c.ParentNodeId == parent);
        if (parent == 0)
        {
            sb.Append("<ul id='tree' class="easyui-tree" >");
        }
        else
        {
            sb.Append("<ul>");
        }
      
        foreach (var cc in childs)
        {


            var ctwo = nodes.Where(c => c.ParentNodeId == parent).ToList(); //ZXJB.DAL.DALFactory.NodeInfo.GetEntitys(c => c.ParentNodeId == cc.NodeId);

            if (cc.NodeUrl == "#")
            {
                sb.Append("<li>");
            }
            else
            {
                sb.Append("<li id='" + cc.NodeUrl.Replace("/Admin/", "") + "'>");
            }
            if (ctwo.Count > 0)
            {
                sb.Append("<span> ");
            }

            sb.Append(cc.DisplayName);
            
            if (ctwo.Count > 0)
            {
                sb.Append("</span>");
            }

            if (ctwo.Count > 0)
            {

                sb.Append(BindTreeView(cc.NodeId,nodes, sb.ToString()));

            }
            sb.Append("</li>");
        }
        sb.Append("</ul>");
        return sb.ToString();
    }
}

左侧功能菜单栏如图所示：

第八步：只是这样我们就可以算是完成了权限控制，但是这样还不行，如果用户不按照左侧的菜单栏操作后台，而是直接通过地址栏输入url访问怎么办。所以所我们要在每个文件的Page_Load事件中进行更加严格的权限验证。，所以说我们要写一个权限过滤器类库，如下。

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.SessionState;
/// <summary>
/// LoginValidate 的摘要说明
/// </summary>
public class LoginValidate
{
    public static readonly LoginValidate Intance = new LoginValidate();
    private LoginValidate()
    {
       
    }
    public ZXJB.Model.T_User ChekLogin()
    {
        var session = HttpContext.Current.Session["currentUser"];
        if (session==null)
        {          
            HttpContext.Current.Response.Redirect("~/AdLogin/Login.aspx?action=l",true);
        }
       
        List<ZXJB.Model.T_User> user = session as List<ZXJB.Model.T_User>;
        return user[0];
    }
    public void CheckRigth()
    {
        var user = ChekLogin();
        string url =HttpContext.Current.Request.Url.ToString();
        int tag = url.LastIndexOf("/");
        url = url.Substring(tag + 1).ToLower();//得到不包含文件夹的url
        url = url.Substring(0, url.IndexOf(".aspx"));//去掉.aspx
        //
        int tag1 = url.IndexOf("list");
        if (tag1 > 0)
        {
            url = url.Substring(0, tag1);//取得List之前的字符串
        }
        int tag2 = url.IndexOf("editor");
        if (tag2 > 0)
        {
            url = url.Substring(0, tag2);//取得Editor之前的字符串
        }
        int tag3 = url.IndexOf("giveright");
        if (tag3 > 0)
        {
            url = url.Substring(0, tag3);//取得giveright之前的字符串
        }

        IList<string> urls = new List<string>();
        urls = GetRightUrl(user.RoleId);
        int length = urls.Count;
        int count = 0;
        foreach (var item in urls)
        {
            if (item.Contains(url))
            {
                count++;
            }
        }
        if (count <= 0)
        {
          
            HttpContext.Current.Response.Redirect("~/AdLogin/Login.aspx?action=v");
        }

    }
    private IList<string> GetRightUrl(int roleId)
    {
        List<string> url = new List<string>();
        var list= ZXJB.DAL.DALFactory.RightInfo.GetEntitys(c => c.RoleId == roleId);
        int count = list.Count;
        if (count > 0)
        {
            foreach (var item in list)
            {
                var node = ZXJB.DAL.DALFactory.NodeInfo.GetEntitys(c => c.NodeId == item.NodeId).FirstOrDefault();
                if (node != null)
                {
                    string urls = node.NodeUrl.ToLower();                   
                    url.Add(urls);
                }
                else
                {

                }
            }
        }
        else
        {
            return null;

        }
        return url;

    }
}

第九步：我们在需要权限验证的每个文件的page_load中调用如下方法：  LoginValidate.Intance.CheckRigth();//检查权限和登录状态（其实我们还可以在global文件中的Application_BeginRequest事件中进行统一验证，这个涉及到asp.net运行原理在这里暂不做说明）。

 

第十步：到这里我们就完成了一个简单的权限控制方法，接下来我将我的页面静态化特别是分页列表的静态化的原理及思路写下来。