Применить фильтр действий ко всем действиям контроллера (C# / ASP.NET MVC)

Я сделал новый фильтр действий (атрибут, подобный [Authorize]), который разрешает доступ к действию контроллера на основе значения сеанса. Тем не менее, я в основном украшаю все свои действия контроллера этим атрибутом (за исключением очень немногих).

Итак, я подумал, что было бы лучше иметь этот фильтр действий всегда выполнена за исключением в случаях, когда я прикрепляю атрибут [ExemptFromAuthorize] к действию контроллера? (Возможно, через наследование моего собственного класса контроллера?)

Как я могу это сделать?

10
.net action-filter asp.net-mvc c# controller-action

7 ответов

работает с jeef3ответ, я придумал это. Он может использовать больше проверки ошибок и надежности, как несколько разделенных действий, но общая идея работает.

в вашем конкретном случае вы можете проверить значение сеанса и решить также вернуться из авторизации.

public class AuthorizeWithExemptionsAttribute : AuthorizeAttribute
{
    public string Exemption { get; set; }
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        if (filterContext.RouteData.GetRequiredString("action") == Exemption)
            return;

        base.OnAuthorization(filterContext);
    }

}

использование:

[AuthorizeWithExemptions(Roles="admin", ExemptAction="Index")]
public class AdminController : Controller
...
6

Проверьте мою статью о codeproject -

http://www.codeproject.com/KB/web-security/AuthorizeWithExemptions.aspx

в этой статье я предоставлю вам решение для обеспечения безопасности ASP.NET контроллеры приложения MVC таким образом, что все действия защищены, кроме тех, которые вы определяете как небезопасные.

snipper из кода:

public override void OnAuthorization(AuthorizationContext filterContext)
{
    ActionDescriptor action = filterContext.ActionDescriptor;
    bool IsUnsecured = action.GetCustomAttributes(
                         typeof(UnsecuredActionAttribute), true).Count() > 0;

    //If doesn't have UnsecuredActionAttribute - then do the authorization
    filterContext.HttpContext.SkipAuthorization = IsUnsecured;

    base.OnAuthorization(filterContext);
}
7

Я понимаю, что вопрос довольно устарел, но в любом случае.. Если вы хотите применить фильтр ко всем действиям, просто добавьте следующие строки в глобальный.асакс:

protected void Application_Start()
{
    // your code here and then
    RegisterGlobalFilters(GlobalFilters.Filters);
}    

public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
    filters.Add(new MyActionFilterAttribute());
}

и в фильтр действий вы можете просто проверить, если есть какие-либо другие атрибуты следующим образом:

public void OnActionExecuting(ActionExecutingContext filterContext)
{
    if (filterContext.ActionDescriptor.IsDefined(typeof(AnotherActionAttribute), false))
    {
        // do what you want to do
    }
}
6

возможно, попробуйте добавить Except свойство вашего первого атрибута?

[MyAuthenticate(Exempt="View")]
public class MyController : Controller
{
    public ActionResult Edit()
    {
        // Protected
    }

    public ActionResult View()
    {
        // Accessible by all
    }
}
3

вы можете добавить атрибут в класс, чтобы он применялся ко всем методам в этом классе

[Authenticate]
public class AccountController : Controller
{
    public ActionResult Index()
    {
        return View();
    }
}

Я не знаю, как исключить конкретный метод из атрибута уровня класса. Может быть, использовать отдельный контроллер для несанкционированных запросов?

2

для тех, кто читает это в 2013+, MVC4 теперь поддерживает использование [Атрибута allowanonymous]

Вы можете поставить Authorize на контроллере, а затем разрешить Anonymous on любые функции, которые вы не хотите авторизовать.

пример:

[разрешаю] открытый класс HomeController: Controller {

[AllowAnonymous]
public ActionResult Index()
{

}

}

будет ли это работать с пользовательским фильтром [MyAuthorize] или работает только с [Авторизация]

1

для тех, кто читает это в 2013+, MVC4 теперь поддерживает использование [AllowAnonymous]

Вы можете поместить Authorize на контроллер, а затем разрешить Anonymous на любые функции, которые вы не хотите авторизовать.

пример: 

[Authorize]
public class HomeController : Controller
{

    [AllowAnonymous]
    public ActionResult Index()
    {

    }
}
0