对所有控制器操作(c/asp.net mvc)强制操作筛选器

一起跑步 jeef3 我想出了这个答案。它可以像使用多个分隔的操作那样使用更多的错误检查和健壮性,但是一般的想法是可行的。

在您的特定情况下,您可以测试会话值并决定退出授权。

public class AuthorizeWithExemptionsAttribute : AuthorizeAttribute
{
    public string Exemption { get; set; }
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        if (filterContext.RouteData.GetRequiredString("action") == Exemption)
            return;

        base.OnAuthorization(filterContext);
    }

}

用法:

[AuthorizeWithExemptions(Roles="admin", ExemptAction="Index")]
public class AdminController : Controller
...

查看我关于代码项目的文章-

http://www.codeproject.com/KB/web-security/AuthorizeWithExemptions.aspx

在本文中,我将为您提供一个保护ASP.NET MVC应用程序控制器的解决方案,使所有操作都是安全的,除了那些您定义为不安全的操作。

代码截图:

public override void OnAuthorization(AuthorizationContext filterContext)
{
    ActionDescriptor action = filterContext.ActionDescriptor;
    bool IsUnsecured = action.GetCustomAttributes(
                         typeof(UnsecuredActionAttribute), true).Count() > 0;

    //If doesn't have UnsecuredActionAttribute - then do the authorization
    filterContext.HttpContext.SkipAuthorization = IsUnsecured;

    base.OnAuthorization(filterContext);
}

我知道这个问题已经过时了,但无论如何……如果要对所有操作应用筛选器,只需在global.asax中添加以下行:

protected void Application_Start()
{
    // your code here and then
    RegisterGlobalFilters(GlobalFilters.Filters);
}    

public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
    filters.Add(new MyActionFilterAttribute());
}

在action过滤器中,您可以通过以下方式检查action是否具有任何其他属性:

public void OnActionExecuting(ActionExecutingContext filterContext)
{
    if (filterContext.ActionDescriptor.IsDefined(typeof(AnotherActionAttribute), false))
    {
        // do what you want to do
    }
}

可能尝试添加一个 Except 属性设置为第一个属性?

[MyAuthenticate(Exempt="View")]
public class MyController : Controller
{
    public ActionResult Edit()
    {
        // Protected
    }

    public ActionResult View()
    {
        // Accessible by all
    }
}

可以将属性添加到类中,使其应用于该类中的所有方法。

[Authenticate]
public class AccountController : Controller
{
    public ActionResult Index()
    {
        return View();
    }
}

我不知道如何从类级属性中排除特定的方法。可能对未经身份验证的请求使用单独的控制器?

对于任何在2013年读到这篇文章的人来说,MVC4现在支持使用 [异基因]

您可以在控制器上设置授权,然后允许匿名启用 您不想授权的任何函数。

例子:

[授权] 公共类主控制器:控制器{

[AllowAnonymous]
public ActionResult Index()
{

} 

}

这是否可以使用自定义的[MyAuthorize]筛选器,或者它只可以使用[Authorize]

对于任何在2013年读到这篇文章的人来说,MVC4现在支持使用 [AllowAnonymous]

您可以在控制器上设置authorize,然后允许对不想授权的任何函数使用匿名。

例子:

[Authorize]
public class HomeController : Controller
{

    [AllowAnonymous]
    public ActionResult Index()
    {

    }
}