ASP.NET权限管理

ASP.NET Web Forms权限管理：

我要将一个文件夹只能让一个用户组访问怎么办？

可否在网站根目录下的web.config里这样设置：

<location path="admin">

    <system.web>

      <authorization>

        <allow roles="adminer">

        </allow>

        <deny users="*">

        </deny>

      </authorization>

    </system.web>

  </location>

（注：最后经过测试，这样是可以的，这里只是为了说明web.config是分层，可覆盖的）

最后我想到，在每个文件夹下加一个web.config重写

<authorization/>部分

如：

a文件夹下web.config：

<?xml version="1.0" encoding="utf-8" ?>

<configuration> 

  <system.web>

      <authorization>

            <allow  roles = "admin"/>

            <deny   user  = "?"/>

    </authorization>

 </system.web>

</configuration>

b文件夹下的web.congfig

<?xml version="1.0" encoding="utf-8" ?>

<configuration> 

  <system.web>

      <authorization>

            <allow  roles="teacher"/>

              <deny users = "?" roles = "student,admin"/>

    </authorization>

 </system.web>

</configuration>

这样就对不同的文件夹实现不同的授权了

基于角色的验证终于完成了

如下实现方法：

1.在web.config里这样设置：

<system.web>

       <authorization>

              <allow = “roleslist”/>

              <deny users = “?”/>

       </authorization>

</system.webconfig>

登陆成功以后生成一个票据，票据里存储有用户的用户名和角色等信息，将票据发送到客户端，并跳转到请求的页面。

如：

//如果通过验证

if (IsPass)

{

     FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1,studentinfo.userid,DateTime.Now,DateTime.Now.AddMinutes(30),false,studentinfo.role,"/");

     string CodeTicket = FormsAuthentication.Encrypt(ticket);

     HttpCookie cookie = new HttpCookie(FormsAuthentication.FormsCookieName,CodeTicket);

     Context.Response.Cookies.Add(cookie);

     Context.Response.Redirect(RedirectTarget);

}

2.在Gloabal.asa.cs里的Application_AuthenticateRequest中获取客户端的cookie中的role信息，并生成GenericPrincipal对象保存在Application.Conext.User里

如：

protected void Application_AuthenticateRequest(Object sender, EventArgs e)

{

     HttpApplication App = (HttpApplication) sender;

     HttpContext Ctx = App.Context ; //获取本次Http请求相关的HttpContext对象

     if (Ctx.Request.IsAuthenticated == true) //验证过的用户才进行role的处理

     {

         FormsIdentity Id = (FormsIdentity)Ctx.User.Identity ;

         FormsAuthenticationTicket Ticket = Id.Ticket ; //取得身份验证票

         string[] Roles = Ticket.UserData.Split (',') ; //将身份验证票中的role数据//转成字符串数组

         Ctx.User = new GenericPrincipal (Id, Roles) ; //将原有的Identity加上角色信//息新建一个GenericPrincipal表示当前用户,这样当前用户就拥有了role信息

     }

}

使用这种权限管理的前提是Web Forms进行开发，在MVC框架中，这种方法却无法正常工作，原因有两点：

请求不再映射到物理目录。
可能存在多种查找同一控制器的方式。

ASP.NET MVC权限管理：

Authorize特性是ASP.NET MVC自带的默认授权过滤器，可用来限制用户对操作方法的访问。

对于大多数网站来说，基本上整个应用程序都是需要授权的。因此，把AuthorizeAttribute配置为全局过滤器，使用AllowAnonymous特性匿名访问指定控制器或方法，就变成了不错的想法。

public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
    filters.Add(new System.Web.Mvc.AuthorizeAttribute());
    filters.Add(new HandleErrorAttribute());
}

这样就会把AuthorizeAttribute应用到整个程序的所有控制器操作。显而易见，这样也限制了对整个网站的访问。MVC4中新添加了AllowAnonymous特性，用AllowAnonymous特性装饰的方法能够匿名访问。

我们也能限制特定用户或角色的访问，Authorize特性允许指定角色和用户：

[Authorize(Roles = "Administrator,SuperAdmin", Users = "Jon,Phil")]
public class TopSecretController : Controller

值得注意的是全局过滤器只针对MVC控制器操作，不能保障Web Forms、静态内容或其他ASP.NET处理程序的安全。

除了使用过滤器控制权限，我们可以在运行Controller之前来判断用户操作权限，那么我们可以试想此处的应用场景，如当我们的用户未认证，那么我们可以通过直接判断跳转到认证页面。

具体实现方法：重写Controller里面的OnActionExecuting，需要授权认证的控制器继承重写后的Controller。

/// <summary>
/// 在执行操作方法之前由 MVC 框架调用，我们在此实现我们的权限验证
/// </summary>
/// <param name="filterContext"></param>
protected override void OnActionExecuting(ActionExecutingContext filterContext)
{
    int statusCode = 200;//200:成功，401：未登录，403：没有权限
    string url = Request.RawUrl.ToLower();
    if (Method.isLogin())
    {
        if (!checkAuthority(url))
        {
            statusCode = 403;
        }
    }
    else
    {
        statusCode = 401;
    }
    if (statusCode != 200)//未通过授权
    {
        if (url.Contains("/api"))//api异步请求返回状态码
        {
            var json = new
            {
                result = statusCode
            };
            filterContext.Result = Json(json, JsonRequestBehavior.AllowGet);
        }
        else//页面请求跳转
        {
            //filterContext.Result = new RedirectToRouteResult(new RouteValueDictionary(new { Controller = "Login", action = "Login" }));
            switch (statusCode)
            {
                case 401:
                    filterContext.Result = RedirectToAction("Login", "Login");
                    break;
                case 403:
                    filterContext.Result = RedirectToAction("NoAuthority", "Login");
                    break;
            }
        }
    }
}

其中的checkAuthority()方法判断管理员的权限：

/// <summary>
/// 权限判断
/// </summary>
/// <param name="power"></param>
private bool checkAuthority(string url)
{
    string[] arr = Method.getAdminInfo["authority"].Split(new char[] { ',' }, StringSplitOptions.RemoveEmptyEntries);
    string val = "";
    switch (url)
    {
　　　　  //权限100 查看会员
        case "/member/mymember":
            val = "100"; break;
        //权限101 修改会员
        case "/api/editmember":
            val = "101"; break;
    }
    if (val != "")//该页面需要权限进入
    {
        return arr.Contains(val);
    }
    else
    {
        return true;
    }
}

其中的Method.getAdminInfo["authority"]是我写的获取登录票据中管理员的权限（用“,”分割的数字）。

RBAC数据库设计图：

原文参考：.net用户角色与访问权限控制

　　　　　大型门户网站的RBAC用户权限管理

　　　　　《ASP.NET MVC4 高级编程》（第四版）