MVC四大筛选器—AuthorizeFilter

在Action的执行中包括两个重要的部分，一个是Action方法本身逻辑代码的执行，第二个就是Action方法的筛选器的执行。

MVC4中筛选器都是以AOP（面向方面编程）的方式来设计的，通过对Action方法上标注相应的Attribute标签来实现。MVC4提供了四种筛选器，分别为：AuthorizationFilter、ActionFilter、ExceptionFilter和ResultFilter，他们分别对应了四个筛选器接口IAuthorizationFilter、IActionFilter、IExceptionFilter和IResultFilter。

这四种筛选器都有派生于一个公共的类FilterAttribute，该类指定了筛选器的执行顺序Order和是否允许多个应用AllowedMultiple。这四种筛选器默认的执行顺序为最先进行授权筛选，最后进行异常处理，中间则是ActionFilter和ResultedFilter。

下面是抽象类FilterAttribute的类图

下面我们来具体列举一下各个筛选器的作用和实现

AuthorizeFilter筛选器

从字面上我们就能看出这是对Controller或Action方法授权的筛选器，即在Controller或Action方法执行前，首先会先执行该筛选器，若通过，才会继续执行。下面是此筛选器的简单类图

AuthorizeAttribute为最终授权筛选器的实现者，它实现了IAuthorizationFilter接口和FilterAttribute抽象类，接口中的OnAuthorization(AuthorizationContext filterContext)方法是最终验证授权的逻辑（其中AuthorizationContext是继承了ControllerContext类）

protected virtual bool AuthorizeCore(HttpContextBase httpContext)
        {
            if (httpContext == null)
            {
                throw new ArgumentNullException("httpContext");
            }
 
            IPrincipal user = httpContext.User;
            if (!user.Identity.IsAuthenticated)
            {
                return false;
            }
 
            if (_usersSplit.Length >  && !_usersSplit.Contains(user.Identity.Name, StringComparer.OrdinalIgnoreCase))
            {
                return false;
            }
 
            if (_rolesSplit.Length >  && !_rolesSplit.Any(user.IsInRole))
            {
                return false;
            }
 
            return true;
        }

AuthorizeCore方法是最终OnAuthorization()方法调用的最终逻辑，从代码可以看出，当同时指定了users和roles时，两者只有同时满足条件时才可以验证授权通过。如

        [Authorize(Users="zhangsan", Roles="Admin")]
        public ActionResult ActionMethod()
        {
        }

则只有用户zhangsan，且用户属于Admin角色时才能验证授权通过。

若验证不通过时，OnAuthorization方法内部会调用HandleUnauthorizedRequest

虚方法进行处理，代码如下：

protected virtual void HandleUnauthorizedRequest(AuthorizationContext filterContext)
        {
            // Returns HTTP 401 - see comment in HttpUnauthorizedResult.cs.
            filterContext.Result = new HttpUnauthorizedResult();
        }

该方法设置了参数上下文中ActionResult的值，用于供View展示。

我们可以自定义Authorize筛选器，由于OnAthurization()、AuthorizeCore()和HandleUnauthorizedRequest()方法都是虚方法，我们自定义的Authorize筛选器只需要继承AuthorizeAttribute类，重写以上三种方法，这样就可以自定义自己的验证规则和验证失败时的处理逻辑了。

IAuthorizationFilter还有其他类型的实现类，如RequireHttpsAttribute、ValidateInputAttribute都是实现了OnAuthorization()方法，来完成各自筛选器处理的。