ASP.NET MVC 2 Autorisierung Problem

Question

Ich verwende einen benutzerdefinierten Mitgliedschaftsanbieter. Alles funktioniert super. Allerdings habe ich in meiner web.config-Datei "Benutzer verweigern" aktiviert, so dass die gesamte Website gesperrt ist.

Das funktioniert super. Der Benutzer wird zur Anmeldeseite weitergeleitet.

Jetzt habe ich ein paar Controller/Aktionen, die ich anonymen Zugriff zulassen möchte. Über Seite, Passwort zurücksetzen, etc.

Der einzige Weg, wie ich herausfinden kann, wie dies zu tun ist, die gesamte Website zu entsperren, legen Sie [Authorize] -Attribute auf jedem Controller und entfernen Sie sie für den Controller/Aktionen, die ich anonym möchte.

Dies scheint rückwärts zu mir. Ich bevorzuge es, alles standardmäßig zu sperren und das, was anonym ist, freizuschalten.

Gibt es einen Weg um dies?

Danke!

Answer 1

Ich kann über alternative Möglichkeiten nachdenken, dies zu implementieren, aber alle beinhalten die Verwendung eines benutzerdefinierten AuthorizeAttribute. Eine Möglichkeit, dies zu tun, wäre ein Basiscontroller, der das angepasste AuthorizeAttribute verwendet, von dem alle Controller abgeleitet sind. Dieses Attribut wird angepasst, um den anonymen (und nicht autorisierten) Zugriff auf eine Aktion zu verhindern, es sei denn, der Controller oder die Aktion selbst wurde mit einem anderen Attribut versehen, z. B. AnonymousEnabledAttribute. Alle Ihre Controller würden von diesem Controller abgeleitet und erben damit sein Standardverhalten "kein anonymes Standardverhalten". Sie würden dann einfach die Controller/Aktionen dekorieren, die anonym mit dem AnonymousEnabledAttribute sein sollen - die Überschreibung für diesen Controller oder diese Aktion bereitstellen. Oder, für einen Controller, erben Sie einfach nicht vom geschützten Controller und alle seine Aktionen werden öffentlich.

Oh, und Ihre ganze Website müsste offen bleiben.

[OverridableAuthorize] 
public abstract class ProtectedController : Controller 
{ 
} 

public class MostlyProtectedController : ProtectedController 
{ 
    public ActionResult ProtectedAction() 
    { 
    } 

    [AnonymousEnabled] 
    public ActionResult PublicAction() 
    { 
    } 
} 

[AnonymousEnabled] 
public class ExplicitlyPublicController : ProtectedController 
{ 
    // inherits additional behaviors, but anonymous is enabled by attribute 
} 

public class PublicByOmissionController : Controller 
{ 
    // doesn't inherit and is thus public -- assuming whole site is open 
} 

public class AnonymousEnabledAttribute : Attribute 
{ 
} 

public class OverridableAuthorizeAttribute : AuthorizeAttribute 
{ 
    public override void OnAuthorization(AuthorizationContext context) 
    { 
      context.HttpContext.Items["ActionDescriptor"] = context.ActionDescriptor; 
      base.OnAuthorize(context); 
    } 

    public override bool AuthorizeCore(HttpContextBase context) 
    { 
     var actionDescriptor = context.Items["ActionDescriptor"] as ActionDescriptor; 
     if (actionDescriptor == null) 
     { 
      throw InvalidOperationException("ActionDescriptor missing from context"); 
     } 
     var attribute = actionDescriptor 
          .GetCustomAttributes(typeof(AnonymousEnabledAttribute,true) 
          .FirstOrDefault(); 
     if (attribute == null) 
     { 
      return base.AuthorizeCore(context); 
     } 
     return true; 
    } 
} 

Answer 2

Sie können einen Ort in der Datei web.config für die Controller erstellen, die Sie wollen immer erlauben:

<configuration> 
    <system.web> 
     ... 
     <authorization> 
      <deny users="?" /> 
     </authorization> 
    </system.web> 
    ... 
    <location path="MyArea/MyController"> 
     <system.web> 
      <authorization> 
       <allow users="*" /> 
      </authorization> 
     </system.web> 
    </location> 
    ... 
</configuration>