我的自定义授权属性遇到问题
public class ExplicitAuthorizeAttribute : AuthorizeAttribute
{
private readonly MembershipUserRole[] _acceptedRoles;
public ExplicitAuthorizeAttribute()
{
}
public ExplicitAuthorizeAttribute(params MembershipUserRole[] acceptedRoles)
{
_acceptedRoles = acceptedRoles;
}
protected override bool AuthorizeCore(HttpContextBase httpContext)
{
//Validation ...
}
}
我是这样使用它的:
[ExplicitAuthorize[(MembershipUserRole.Admin, MembershipUserRole.SuperAdmin)]
它非常适合HttpGet和HttpPost来验证我的控制器和方法。
但是当我在 ApiController 中使用它并进行 ajax 调用时,AuthorizeCore 没有运行,我遇到了安全漏洞。
我的枚举看起来像这样
[Flags]
public enum MembershipUserRole
{
Admin= 1,
SuperAdmin = 2
}
有谁知道为什么我的授权核心在这种情况下没有验证?
顺便说一下,如果我使用
[Authorized(Roles ="Admin, SuperAdmin")]
它验证得很好,但我希望有 Stronly 类型化角色,这就是我使用枚举的原因。
你派生自错误的类:System.Web.Mvc.AuthorizeAttribute
而对于 Web API 控制器,你应该派生自 System.Web.Http.AuthorizeAttribute
。
不要忘记,ASP.NET MVC 和 ASP.NET Web API 是 2 个完全不同的框架,即使它们共享一些共同的原则和名称,相应的类也位于 2 个完全不同的命名空间中。
因此,您所做的是使用它一无所知的 AuthorizeAttribute 装饰一个 ASP.NET Web API 操作。
如果要在 Web API 中进行授权 ASP.NET 请确保已从正确的属性派生:
public class ExplicitAuthorizeAttribute : System.Web.Http.AuthorizeAttribute
{
private readonly MembershipUserRole[] _acceptedRoles;
public ExplicitAuthorizeAttribute()
{
}
public ExplicitAuthorizeAttribute(params MembershipUserRole[] acceptedRoles)
{
_acceptedRoles = acceptedRoles;
}
protected override bool IsAuthorized(HttpActionContext actionContext)
{
//Validation ...
}
}