Asp.net Mvc4 基于Authorize实现的模块访问权限
在MVC中,我们可以通过在action或者controller上设置Authorize[Role="xxx"] 的方式来设置用户对action的访问权限。显然,这样并不能满足我们的需求,
对于一般的MVC系统来说,如果我们定义一个controller来处理一个模块的话,我们大致有以下需求:
一,单个action的访问权限。如果删除,列表action
二,一个action两种权限,如edit(int? id)如果id为null则添加,或者修改
三,在此cotroller验证其它模块权限,比如,我们要在新闻模块获取新闻列表
四,对于某些通过模块,如分类,我们希望通过传入不同的参数可以验证不同模块的权限
对于四种情况,我理想的想法是:
对于第一种,直接制定controller的moduleid和action的权限
[Module(ModuleId=6)]
public class Controller: Controller{
[SysAuthorize(Permission.List)] //设置action要验证的权限
public ActionResult List()
}
对于第二种情况,我们希望通过参数来达到验证那个权限的目的:
[Module(ModuleId=6)]
public class Controller: Controller{
//如果参数为null是将验证添加权限否则验证修改权限
[SysAuthorize(Permission.Add,Permission.Edit,"id",null)]
public ActionResult Edit(int? id)
}
对于第三种情况,我们可以为action验证指定单独的模块id
[Module(ModuleId=6)]
public class Controller: Controller{
[SysAuthorize(9,Permission.List)] //此方面验证模块9的列表权限
public ActionResult List(int CType)
}
对于第四种情况,我们可以为模块添加不同的参数module对应关系
[Module(ModuleId=5,"CType",1)]
[Module(ModuleId=6,"CType",2)]
public class Controller: Controller{
如果当前传入CType为1则验证ModuleId=5,等于2是验证ModuleId=6
[SysAuthorize(Permission.List)]
public ActionResult List(int CType)
}
想法定好以后,我们就可以去实现了。
首先,我们定义一个module的特性:
/// <summary>
/// 模块信息特性
/// </summary>
[AttributeUsage(AttributeTargets.Class, Inherited = true, AllowMultiple = true)]
public class ModuleAttribute : Attribute
{
public ModuleAttribute() { }
public ModuleAttribute(int moduleId)
{
this.ModuleId = moduleId;
}
public ModuleAttribute(int moduleId, string parName, object value)
: this(moduleId)
{
this.ParameterName = parName;
this.ParameterValue = value;
}
/// <summary>
/// 模块Id
/// </summary>
public int ModuleId { get; set; }
/// <summary>
/// 当前模块对应参数名
/// </summary>
public string ParameterName { get; set; }
/// <summary>
/// 当前模块参数值
/// </summary>
public object ParameterValue { get; set; }
/// <summary>
/// 验证参数值是否有正确
/// </summary>
public bool CheckParameter(HttpRequestBase request)
{
var val = request[ParameterName];
bool b = false;
if (val == null && ParameterValue == null)
b = true;
else if (val != null && ParameterValue != null && val == ParameterValue.ToString())
b = true;
return b;
}
}
实现了模块特性以后,就是比较重要的验证特性了:
/// <summary>
/// 系统权限验证
/// <remarks>
/// 0,只验证登陆:无参数时,只验证登陆
/// 1,单一:只一指定权限代码时验证当前模块的指定权限
/// 2,二选一:指定两种权限代码时,根据参数验证,如果参数等于指定参数,则验证前者,否则验证后者
/// </remarks>
/// </summary>
[AttributeUsage(AttributeTargets.Class AttributeTargets.Method, Inherited = true, AllowMultiple = false)]
public class SysAuthorizeAttribute : AuthorizeAttribute
{
/// <summary>
/// 验证是否登陆
/// </summary>
public SysAuthorizeAttribute() { }
/// <summary>
/// 验证基本权限
/// </summary>
public SysAuthorizeAttribute(Permission permission)
{
this.PermissionFlag = permission;
}
/// <summary>
/// 验证基本权限
/// </summary>
public SysAuthorizeAttribute(int moduleId, Permission permission)
: this(permission)
{
this.ModuleId = moduleId;
this.IsSetModuleId = true;
}
/// <summary>
/// 带参数的验证
/// </summary>
public SysAuthorizeAttribute(Permission permission, string parName, object value = null)
{
this.PermissionFlag = permission;
this.ParameterName = parName;
this.ParameterValue = value;
}
/// <summary>
/// 带参数的验证
/// </summary>
public SysAuthorizeAttribute(int moduleId, Permission permission, string parName, object value = null)
: this(permission, parName, value)
{
this.ModuleId = moduleId;
this.IsSetModuleId = true;
}
/// <summary>
/// 带参数的验证二选一
/// </summary>
public SysAuthorizeAttribute(Permission before, Permission after, string parName, object value = null)
{
this.PermissionFlag = before;
this.PermissionFlag1 = after;
this.ParameterName = parName;
this.ParameterValue = value;
}
/// <summary>
/// 带参数的验证二选一
/// </summary>
public SysAuthorizeAttribute(int moduleId, Permission before, Permission after, string parName, object value = null)
: this(before, after, parName, value)
{
this.ModuleId = moduleId;
this.IsSetModuleId = true;
}
/// <summary>
/// 当前要验证的权限代码
/// </summary>
private Permission? PermissionFlag { get; set; }
/// <summary>
/// 当前要验证的另一个权限代码(当二选一验证验证方式时有效)
/// </summary>
private Permission? PermissionFlag1 { get; set; }
/// <summary>
/// 是否自定义设置了moduleId
/// </summary>
private bool IsSetModuleId { get; set; }
/// <summary>
/// 获取或设置当前模块Id
/// </summary>
public int? ModuleId { get; set; }
/// <summary>
/// 权限验证参数名
/// </summary>
public string ParameterName { get; set; }
/// <summary>
/// 权限验证参数值
/// </summary>
public object ParameterValue { get; set; }
/// <summary>
/// 验证结果
/// </summary>
public bool AuthorizeResult { get; private set; }
/// <summary>
/// 验证前获取moduleId
/// </summary>
public override void OnAuthorization(AuthorizationContext filterContext)
{
if (!IsSetModuleId)
{
var modules = filterContext.Controller.GetModules();
//一个模块的的时候,只第一次进入时获取他的模块id,缓存以后不作处理
if (modules.Count == 1 && ModuleId == null)
{
if (!string.IsNullOrWhiteSpace(modules[0].ParameterName))
{
if (modules[0].CheckParameter(filterContext.HttpContext.Request))
ModuleId = modules[0].ModuleId;
}
else
ModuleId = modules[0].ModuleId;
}
//多个模块的时候,每次验证强制更新及moduleid
else if (modules.Count > 1)
{
foreach (var m in modules)
{
if (m.CheckParameter(filterContext.HttpContext.Request))
{
ModuleId = m.ModuleId;
break;
}
}
}
}
base.OnAuthorization(filterContext);
}
/// <summary>
/// 核心验证
/// </summary>
protected override bool AuthorizeCore(HttpContextBase httpContext)
{
//如果未登陆,则跳转到登陆页
if (!httpContext.User.Identity.IsAuthenticated)
httpContext.Response.Redirect(FormsAuthentication.LoginUrl);
AuthorizeResult = true;
if (PermissionFlag != null)
{
if (PermissionFlag.Value == Permission.Administrator)
return AdminSiteService.CheckAdministrator();
//未设置模块id,则抛出异常
if (ModuleId == null)
throw new Exception(string.Format("未设置模块id的Control不能进行权限验证!"));
//处理二选一
if (PermissionFlag1 != null)
{
if (string.IsNullOrWhiteSpace(ParameterName))
throw new Exception(string.Format("请为二选一验证指定相应的参数名!"));
//如果参数值等于给定值,则验证前者,否则验证后者
if (CheckParameter(httpContext.Request))
AuthorizeResult = AdminSiteService.CheckPermission(ModuleId.Value, (int)PermissionFlag.Value);
else
AuthorizeResult = AdminSiteService.CheckPermission(ModuleId.Value, (int)PermissionFlag1.Value);
}
else //一般验证处理
{
//如果参数名不为空,则先验证参数值是否匹配
if (!string.IsNullOrWhiteSpace(ParameterName))
AuthorizeResult = CheckParameter(httpContext.Request);
if (AuthorizeResult)
AuthorizeResult = AdminSiteService.CheckPermission(ModuleId.Value, (int)PermissionFlag.Value);
}
}
return AuthorizeResult;
}
/// <summary>
/// 错误处理
/// </summary>
protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
{
filterContext.Result = new RedirectResult("~/Main/Error?code=100");
}
/// <summary>
/// 验证参数值是否有正确
/// </summary>
private bool CheckParameter(HttpRequestBase request)
{
var val = request[ParameterName];
bool b = false;
if (val == null && ParameterValue == null)
b = true;
else if (val != null && ParameterValue != null && val == ParameterValue.ToString())
b = true;
return b;
}
}
注意AuthorizeAttribute缓存问题。第一访问时会缓存该Action的身份认证类,所以多模块验证时需要重新获取moduleId
如果当前AuthorizeAttribute没有指定moduleid,则每次访问强制更新其moduleId
补充一下获取控制器模块的扩展方法:
/// <summary>
/// 获取控制器相关模块
/// </summary>
public static List<ModuleAttribute> GetModules(this ControllerBase controller, bool useCache = true)
{
if (controller == null)
return null;
string cacheKey = string.Format("{0}_Modules", controller.GetType().Name);
if (useCache)
{
if (CacheProvider.Cache.Contains<List<ModuleAttribute>>(cacheKey))
return CacheProvider.Cache.Get<List<ModuleAttribute>>(cacheKey);
}
var moduleInfos = controller.GetType().GetCustomAttributes(typeof(ModuleAttribute), false);
List<ModuleAttribute> modules = new List<ModuleAttribute>();
if (moduleInfos.Length <= 0)
return modules;
foreach (var m in moduleInfos)
{
modules.Add((ModuleAttribute)m);
}
if (useCache)
//缓存控制器模块信息
CacheProvider.Cache.Add<List<ModuleAttribute>>(cacheKey, modules, 20);
return modules;
}
验证方法主要是帮我们区分出是验证哪一个模块的哪一个权限,最后把模块id和权限标识传入我们的逻辑层进行验证,我们可以在登陆的时候缓存用户的模块权限。
验证大致代码:
/// <summary>
/// 判断当前登陆用户对操作是否有权限
/// </summary>
public static bool CheckPermission(int ModuleId, int permissionFlag)
{
//FormsAuthentication.GetAuthCookie()
var user = HttpContext.Current.User;
//未登陆的用户
if (!user.Identity.IsAuthenticated)
return false;
AdminInfo info = GetLoginAdminInfo();
//超级管理员有所有权限
if (info.RoleId == Constant.AdministratorRoleId)
return true;
if (!info.ModulePermissions.Exists(t => t.AdminId == info.AdminId &&
t.ModuleId == ModuleId &&
t.PermissionFlag == permissionFlag))
return false;
return true;
}
最后,我们就可以在我们的系统中使用了:
using FL.Entitys;
using FL.Site.Service;
using FL.Site.SysManager.Common;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;
using FL.Site.ViewModel;
using FL.Site.SysManager.JUI; namespace FL.Site.SysManager.Controllers
{
[Module(ModuleId = 7)]
public class AdminController : BaseController<AdminSiteService>
{
/// <summary>
/// 分页列表
/// </summary>
[SysAuthorize(Permission.List)]
public ActionResult List(PagerPostItem postPager)
{
var pager = new PagerItem(postPager, TargetType.NavTab);
int recordCount;
var list = Service.GetPageList(pager.currentPage, pager.numPerPage, out recordCount);
pager.totalCount = recordCount;
var roles = new RoleSiteService().GetRoles();
ViewBag.Roles = roles;
return View(list, pager);
}
/// <summary>
/// 编辑输入
/// </summary>
[SysAuthorize(Permission.Add, Permission.Update, "id")]
public ActionResult Edit(int? id)
{
var entity = new AdminSaveModel();
if (id != null)
entity = Service.GetById(id.Value);
var roles = new RoleSiteService().GetRoles();
ViewBag.Roles = new SelectList(roles, "RoleId", "RoleName", entity.RoleId);
return View(entity);
}
/// <summary>
/// 保存数据
/// </summary>
[HttpPost]
[SysAuthorize(Permission.Add, Permission.Update, "AdminId", 0)]
public ActionResult Edit(AdminSaveModel entity)
{
entity.LastUpdateTime = DateTime.Now;
entity.LastUpdateAdmin = UserInfo.LoginName;
if (ModelState.IsValid)
return Json(Service.Save(entity));
else
return Json(AjaxResult.NewModelCheckErrorResult(ModelState));
}
/// <summary>
/// 删除指定id的数据
/// </summary>
[SysAuthorize(Permission.Delete)]
public ActionResult Delete(int id,int roleId)
{
return Json(Service.Delete(id, roleId), false);
}
/// <summary>
/// 修改密码
/// </summary>
[SysAuthorize(Permission.Update)]
public ActionResult EditPwd(int id)
{
ViewBag.Id = id;
return View();
}
[HttpPost]
[SysAuthorize(Permission.Update)]
public ActionResult EditPwd(string Pwd, string ConfirmPwd, int id)
{
return Json(Service.UpdatePassword(Pwd, ConfirmPwd, id));
}
/// <summary>
/// 获取用户登陆日志
/// </summary>
[SysAuthorize(22, Permission.List)]
public ActionResult LoginLog(PagerPostItem postPager)
{
var pager = new PagerItem(postPager, TargetType.NavTab);
int recordCount;
var list = Service.GetLoginLogPageList(pager.currentPage, pager.numPerPage, out recordCount);
pager.totalCount = recordCount;
return View(list, pager);
}
}
}
很久没写文章,有点小乱,也没提供代码及数据库相关的东西,也算是分享一种相法吧。程序一个人写久了很寂寞
数据库大致结构:模块表,角色表,用户表,模块权限表,角色模块权限表,用户角色表, 另外写一个视图获取用户的模块权限,在登陆的时候缓存,就可以使用上面的方式验证了。
总结:在基于模块的权限验证系统中,只需要为程序提供模块,登陆用户及要验证的权限,就可以非常方便的验证用户权限。上面的一系列代码都是为了取得我们想要的模块id和权限
缺点:模块id和权限代码不能随便更改,当然,可以用一个常量类来保存我们的模块和权限,但是总的上来说,还可以将就使用的。
Asp.net Mvc4 基于Authorize实现的模块访问权限的更多相关文章
- Asp.net Mvc4 基于Authorize实现的模块权限验证方式
在MVC中,我们可以通过在action或者controller上设置Authorize[Role="xxx"] 的方式来设置用户对action的访问权限.显然,这样并不能满足我们的 ...
- 从零开始实现asp.net MVC4框架网站的用户登录以及权限验证模块 详细教程
从零开始实现asp.net MVC4框架网站的用户登录以及权限验证模块 详细教程 用户登录与权限验证是网站不可缺少的一部分功能,asp.net MVC4框架内置了用于实现该功能的类库,只需要简单搭 ...
- asp.net mvc4 之Webapi之应用客户端访问服务器端
一.说明 客户端项目类型设计为:winform(winform窗体项目类型) 服务器端项目类型设计为:asp.net mvc4 webapi 在这里分为项目运行和调试两种情况讨论: 运行: 这种情况 ...
- odoo开发笔记 -- 用户配置界面如何增加模块访问权限
在odoo设置界面,点击用户,进入用户配置界面,会看到: 访问权 | 个人资料菜单 在访问权 page菜单界面,可以看到系统预制的一些模块都会显示在这里, 那么,我们自己开发的模块如何显示在这块呢,从 ...
- ASP.NET MVC4.0+EF+LINQ+bui+网站+角色权限管理系统(6)
快过年了,公司事情忙,好几天没有继续写博客,今天开始写账户模块系统登录,账户管理以及登录日志, 首先新建登录日志数据表: USE [MVCSystem] GO /****** Object: Tabl ...
- ASP.NET MVC4.0+EF+LINQ+bui+网站+角色权限管理系统(7)
今天将使用Simplemembership进行权限控制 我们使用mvc的AuthorizeAttribute来实现对Controller and Action权限控制 看如下标为红色的代码片段: // ...
- ASP.NET MVC4应用程序配置跨域访问
开发框架是使用webapi做后台,HTML5做前台,通过ajax调用webapi后台,返回json结果. 用的编译器是visual Studio2013,下面是配置方法 1.web.config文件 ...
- ASP.NET MVC4.0+EF+LINQ+bui+网站+角色权限管理系统(5)
我参考了bui官网,里面提供了大量的接口案例和效果,之前下载的前端框架完全不需要bootstrap,所以从这一节开始,不再使用bootstrap(当然不想改变的也可以继续使用之前的框架,不影响使用), ...
- 要将 ASP.NET 访问权限授予某个文件,请在资源管理器中右击该文件,选择“属性”,然后选择“安全”选项卡。单击“添加”添加适当的用户或组。突出显示 ASP.NET 帐户,选中所需访问权限对应的框。
找到该文件所在文件夹,右键属性,安全选项卡,添加-aspnet用户,并设置其权限为完全控制.如果还是不行,就添加一个Everyone用户并赋予完全控制权限windows server 2008中IIS ...
随机推荐
- php生成的中文文件名会变成乱码,应该这样解决
现在php有很多类库,会生成文件,比如生成zip文件,生成二维码等等.这些类库用起来很爽,但是一旦生成带有中文的文件名,极有可能出现乱码. 问题:生成的中文文件名会变成乱码 解决:使用函数:iconv ...
- jsp分页技术
1.以下为分页类: import java.io.Serializable; import java.util.List; import org.apache.commons.lang.bui ...
- C语言嵌入式系统编程修炼之四:屏幕操作
汉字处理 现在要解决的问题是,嵌入式系统中经常要使用的并非是完整的汉字库,往往只是需要提供数量有限的汉字供必要的显示功能.例如,一个微波炉的LCD上没有必要提供显示"电子邮件"的功 ...
- DestroyWindow
假设自己通过new创建了一个窗口对象pWnd,然后pWnd->Create.则销毁窗口的调用次序: 1. 手工调用pWnd->DestroyWindow(): 2. ...
- 如何测试 Android 中的定时事件
测试定时事件不太容易,比如要测试 AlarmManager 中定时明天4点的一个事件,你总不能等到明天4点再看看吧. Roman Nurik 提供了两个用来测试定时事件的命令:adb shell du ...
- Git fork指令
ork并且更新一个仓库 现在有这样一种情形:有一个叫做Joe的程序猿写了一个游戏程序,而你可能要去改进它.并且Joe将他的代码放在了GitHub仓库上.下面是你要做的事情: fork并且更新GitH ...
- mysql 海量数据的存储和访问解决方案
第1章 引言 随着互联网应用的广泛普及,海量数据的存储和访问成为了系统设计的瓶颈问题.对于一个大型的互 联网应用,每天几十亿的PV无疑对数据库造成了相当高的负载.对于系统的稳定性和扩展性造成了极大的 ...
- HDU-4920 Matrix multiplication
矩阵相乘,采用一行的去访问,比采用一列访问时间更短,根据数组是一行去储存的.神奇小代码. Matrix multiplication Time Limit: 4000/2000 MS (Java/Ot ...
- Git命令详解(一)-个人使用
本文暂时不会涉及到团队如何使用Git的内容,而是从个人的角度探讨如何用好Git. 约定 绿色的5位字符表示提交的ID,文中用<commit>表示,分别指向父节点.分支用橘色显示,分别指向特 ...
- assembly的说明
Assembly SampleAssembly; // Instantiate a target object. Int32 Integer1 = new Int32(); Type Type1; / ...