允许多个角色成员资格的自定义 MVC AuthorizeAttribute

我创建了一个自定义 AuthorizeAttribute 类来处理我的 MVC4 应用程序中的精细授权。

这是班级：

[AttributeUsage(AttributeTargets.Method, AllowMultiple = true)]
public class isAuthorized : AuthorizeAttribute
{
    public oRoles enRole;

    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        var authorized = base.AuthorizeCore(httpContext);
        string test = enRole.ToString();
        if (!authorized)
        {
            // The user is not authenticated
            return false;
        }

        var user = httpContext.User;

        bool bFlag = AuthCheck.CheckUser(httpContext, enRole);
        if (bFlag) // I know this is a lot of code; it's for debugging purposes
            return true;

        return false;
    }
}

我声明了以下枚举以允许代码提供帮助：

public enum oRoles
{
    StudentSelfPassword = 1,
    StaffSelfPassword = 2,
    StudentLookup = 3,
    StudentChangeRequest = 4,
    StudentAdmin = 5,
    StaffLookup = 6,
    StaffChangeRequest = 7,
    StaffAdmin = 8,
    ChangeQueueApproval = 9
}

在我的控制器中，我通过以下方式调用 AuthorizeAttribute：

    [isAuthorized(enRole = oRoles.StudentLookup)]
    [isAuthorized(enRole = oRoles.StaffLookup)]
    [isAuthorized(enRole = oRoles.StudentChangeRequest)]
    [isAuthorized(enRole = oRoles.StaffChangeRequest)]

当我通过调试器运行它时，第一个 isAuthorized 运行并返回 true （应该如此），然后继续执行第二个 isAuthorized，它返回 false，然后立即要求我进行身份验证。我期待它允许，因为第一个条件是正确的。然而，看来我的假设并不正确。

最初，我有 Roles =“change,admin”，它们是域中的组，它可以工作，但这些组的分配需要是动态的，而不是静态的。我可以在那里推送多个项目。这是因为它是作为字符串发送的吗？

有没有一种方法可以本质上执行 isAuthorized(...) ||已授权(...) || isAuthorized(...) 这样，如果一个条件为真，那么它就被验证为可以吗？

在您的属性中，您可以拥有角色列表或数组，而不是具有单个 oRole 的属性。不要放置多个属性，而是用一个属性装饰您的方法，但向其传递一组允许的角色。

[isAuthorized(enRoles = new oRoles[]{oRoles.StudentLookup, oRoles.StaffLookup })]

创建采用多个值的属性的示例是here https://stackoverflow.com/questions/270187/can-i-initialize-a-c-sharp-attribute-with-an-array-or-other-variable-number-of-a

然后，在您的授权检查代码中，您可以检查已提供的所有允许列表。像下面的代码一样

 bool bFlag = enRoles.ToList().Any( r => AuthCheck.CheckUser(httpContext, r));