Wie benutzerdefinierte Autorize-Attribut für den folgenden Fall implementieren?

Question

, so habe ich meine Aktion Methode

[Authorize(Roles="Admin")] 
public ActionResult EditPosts(int id) 
{ 
    return View(); 
} 

In meinem Fall muss ich Administratoren genehmigen, so dass sie Beiträge editieren, aber (hier kommt das kühle Teil), ich muss auch der Schöpfer der Post ermöglichen zu können, um den Beitrag zu bearbeiten, der ein normaler Benutzer ist. Also, wie kann ich den Benutzer, der den Post erstellt hat, sowie die Admins herausfiltern, aber die anderen nicht autorisieren lassen? Ich empfange die PostEntry ID als Routenparameter, aber das ist nach dem Attribut und auch Attribute akzeptieren nur konstante Parameter, sieht aus wie etwas sehr schwierig, Ihre Antworten sind sehr geschätzt, Prost!

Answer 1

Sie können eine benutzerdefinierte autorisieren Attribut schreiben:

public class AuthorizeAdminOrOwnerOfPostAttribute : AuthorizeAttribute 
{ 
    protected override bool AuthorizeCore(HttpContextBase httpContext) 
    { 
     var authorized = base.AuthorizeCore(httpContext); 
     if (!authorized) 
     { 
      // The user is not authenticated 
      return false; 
     } 

     var user = httpContext.User; 
     if (user.IsInRole("Admin")) 
     { 
      // Administrator => let him in 
      return true; 
     } 

     var rd = httpContext.Request.RequestContext.RouteData; 
     var id = rd.Values["id"] as string; 
     if (string.IsNullOrEmpty(id)) 
     { 
      // No id was specified => we do not allow access 
      return false; 
     } 

     return IsOwnerOfPost(user.Identity.Name, id); 
    } 

    private bool IsOwnerOfPost(string username, string postId) 
    { 
     // TODO: you know what to do here 
     throw new NotImplementedException(); 
    } 
} 

und dann mit ihm Ihre Controller-Aktion dekorieren:

[AuthorizeAdminOrOwnerOfPost] 
public ActionResult EditPosts(int id) 
{ 
    return View(); 
}