c# - ASP.NET MVC:基于参数值保护操作

我正在构建一个系统，其中一些用户可以访问某些数据，而其他用户则不能。

如何保护我的应用程序，以便用户A可以访问

/Product/1/Edit但不是/Product/2/Edit

我当时正在考虑为此使用动作过滤器。这是正确的方法吗？

最佳答案

是的，自定义“授权”操作过滤器是执行此操作的好地方。您可以按照以下步骤进行操作：

public class MyCustomAuthorizeAttribute : AuthorizeAttribute
{
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        base.OnAuthorization(filterContext);

        if (!(filterContext.Result is HttpUnauthorizedResult))
        {
            var currentUser = filterContext.HttpContext.User.Identity.Name;
            var currentAction = filterContext.RouteData.GetRequiredString("action");
            var id = filterContext.RouteData.Values["id"];
            if (!HasAccess(currentAction, currentUser, id))
            {
                HandleUnauthorizedRequest(filterContext);
            }
        }
    }

    private bool HasAccess(string currentAction, string currentUser, object id)
    {
        // TODO: decide whether this user is allowed to access this id on this action
        throw new NotImplementedException();
    }
}

关于c# - ASP.NET MVC:基于参数值保护操作，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/5077224/