AuthorizeAttribute具有Roles，但不对Role值进行硬编码

Question

是否可以添加角色，但不硬编码值，如：

[Authorize(Roles="members, admin")]

我想从数据库或配置文件中检索这些角色，如果我需要为控制器操作添加/删除角色，则无需重新构建应用程序。

我知道用enums可以做到。。。http://www.vivienchevallier.com/Articles/create-a-custom-authorizeattribute-that-accepts-parameters-of-type-enum但即便如此，我的需求仍然不够灵活；它仍然是一个硬代码，尽管它更干净。

Answer 1

您可以创建自定义授权属性，该属性将比较用户角色和配置中的角色。

public class ConfigAuthorizationAttribute: AuthorizeAttribute
{
    private readonly IActionRoleConfigService configService;
    private readonly IUserRoleService roleService;
    private string actionName;
    public ConfigAuthorizationAttribute()
    {
        configService = new ActionRoleConfigService();
        roleService = new UserRoleService();
    }
    protected override void OnAuthorization(AuthorizationContext filterContext)
    {
        actionName = filterContext.ActionDescription.ActionName;
        base.OnAuthorization(filterContext);
    }
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        var availableRoles = configService.GetActionRoles(actionName); // return list of strings
        var userName = httpContext.User.Identity.Name;
        var userRoles = roleService.GetUserRoles(userName); // return list of strings
        return availableRoles.Any(x => userRoles.Contains(x));
    }
}

我希望它能帮助你。

Answer 2

一个解决方案是创建一个名为"Group"的中间实体，其中用户被添加到组（例如：管理员、支持），组具有一组角色。（例如：创建用户）。通过这种方式，您可以对角色进行硬编码，并配置用户和组之间的关系。

您需要实现一个自定义角色提供程序。在MSDN 上实现角色提供程序

[Authorize(Roles="CreateUser")]
public ActionResult Create()
{
}