¿Cómo implementar el atributo Autorizar personalizado para el siguiente caso?

Question

así que tengo mi método Acción

[Authorize(Roles="Admin")] 
public ActionResult EditPosts(int id) 
{ 
    return View(); 
} 

En mi caso necesito para autorizar los administradores para que puedan editar mensajes, pero (aquí viene la parte buena), también necesito para permitir que el creador del mensaje para poder para editar la publicación que es un usuario normal. Entonces, ¿cómo puedo filtrar al usuario que creó la publicación, así como a los administradores, pero dejar a los demás no autorizados? Estoy recibiendo la identificación PostEntry como un parámetro de ruta, pero eso es después del atributo y también los atributos solo aceptan parámetros constantes, parece algo muy difícil, sus respuestas son muy apreciadas, ¡Salud!

Answer 1

Se podría escribir un atributo autorizar personalizado:

public class AuthorizeAdminOrOwnerOfPostAttribute : AuthorizeAttribute 
{ 
    protected override bool AuthorizeCore(HttpContextBase httpContext) 
    { 
     var authorized = base.AuthorizeCore(httpContext); 
     if (!authorized) 
     { 
      // The user is not authenticated 
      return false; 
     } 

     var user = httpContext.User; 
     if (user.IsInRole("Admin")) 
     { 
      // Administrator => let him in 
      return true; 
     } 

     var rd = httpContext.Request.RequestContext.RouteData; 
     var id = rd.Values["id"] as string; 
     if (string.IsNullOrEmpty(id)) 
     { 
      // No id was specified => we do not allow access 
      return false; 
     } 

     return IsOwnerOfPost(user.Identity.Name, id); 
    } 

    private bool IsOwnerOfPost(string username, string postId) 
    { 
     // TODO: you know what to do here 
     throw new NotImplementedException(); 
    } 
} 

y luego decorar tu acción del controlador con él:

[AuthorizeAdminOrOwnerOfPost] 
public ActionResult EditPosts(int id) 
{ 
    return View(); 
}