关于.net中的身份认证（AuthorizeAttribute）的问题

引言

　　　　新公司当初面试的时候问了我很多用户验证的问题，这里就把我的对于验证的想法写一下，希望可以有一个系统的学习记录。

　　一、如何验证

　　　　B/S结构的请求是http请求，个人理解的http请求有两个特点：1、无状态 2、短连接（下篇文章会说一下我个人对于http连接的想法）。所以一个请求是否是我们系统的用户我们一般是用Session和Cookie来判断的。请求又可以分为两种，一种是页面的请求，一种是数据API的ajax请求。所以一个判断请求是否是系统用户可以这么写

 public void HasLogin(HttpContextBase httpContext)
        {
            //判断用户登录信息是否存在，这里是用Session，有的用Cookie(加密)
            if (httpContext.Session["UserInfo"] == null)
            {   
                //如果是AJAX的API请求
                if (httpContext.Request.IsAjaxRequest())
                {
                    //这边处理错误API请求反馈，一般是反馈错误提示
                }
                else
                {
                    //这边是页面请求，如果是未登录的话直接跳转到登录页面
                }
            }   
        }

　　二、如何使用

　　　　有了验证的逻辑之后就可以通过重写.net自己的AuthorizeAttribute类来实现用户身份验证了。AuthorizeAttribute类有两个重要的方法:AuthorizeCore和HandleUnauthorizedRequest。其中AuthorizeCore函数是用来判断一个请求是否通过用户验证，它的返回结果是一个bool。HandleUnauthorizedRequest函数则是在AuthorizeCore返回结果是false时会调用的函数。源代码如下所示

　　　　从图中可以看出当AuthorizeCore函数结果为false时，就会触发HandleUnauthorizedRequest函数来处理验证失败。所以我们可以自定义一个AuthorizeAttribute类的子类并重写上面的两个方法。

protected override bool AuthorizeCore(HttpContextBase httpContext)
        {
            if (httpContext.Session["UserInfo"] == null)
            {
                return false;
            }
            return true;
        }

        protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
        {
            //如果是Ajax请求
            if (filterContext.HttpContext.Request.IsAjaxRequest())
            {
                filterContext.Result = new JsonResult
                {
                    Data = new
                    {
                        ResultCode = ResultCode.Exception,
                        ResultMess = "请求用户未登录！"
                    }
                };
            }
            else
            {
                //处理Url请求
                //验证不通过,直接跳转到相应页面，注意：如果不使用以下跳转，则会继续执行Action方法 
                filterContext.Result = new RedirectResult("/Home/Index");
            }
        }

　　三、添加AuthorizeAttribute过滤

　　　　　我们自定义个AthorizeAttribute已经实现了，接下来就是在控制器上面实现了。具体实现方法有三种

　　　　1、Controller层级添加

　　　　2、Action层级添加

　　　　3、全局添加

　　　　（这个过滤器配置可以在Global.asax中看到）

　　四、取消过滤

　　　　　有些页面，例如登录页面、登录请求的时候用户是肯定还没有登录的，这个时候如果我用了全局添加的话，用户岂不是永远无法登录了？那么为了使某些特定的方法可以不用验证过滤可以在特定Action、Controller上面添加以下抬头

AllowAonymous表示一个特性，该特性用于标记在授权期间要跳过 System.Web.Mvc.AuthorizeAttribute 的控制器和操作

　　总结

　　　　由于本人也是才疏学浅，改文章也是为了记录学习。如果文中有不足或者错误之处还请大家指出。谢谢