Atributo personalizado escrito en C# ASP.Net MVC como Autorizar atributo

Question

me gusta atributo ASP.Net MVC Autorizar, puedo ampliarlo y construir mi propia lógica y decorar mi controlador con él. PERO,

En mi arquitectura, que tienen una capa de servicio común (C# biblioteca de clases). El usuario final puede acceder a mi solicitud a través del sitio web ASP.Net MVC o por medio de mi capa de servicio web WCF REST expuesta. Mi asp.net MVC aplicación y la capa de servicio REST WCF tanto en el acceso a su vez mi capa de servicio común.

Deseo que se produzca la autorización en esta capa de servicio común y no en el controlador ASP.Net MVC ni en la capa de servicio REST expuesta.

¿Puedo crear un atributo ASP.Net MVC Authorize como para decorar mis métodos en la biblioteca común de clases C#? Este atributo tomará parámetros y decidirá si el usuario actual tiene acceso para realizar esa función o no.

, gracias & Saludos, Ajay

Answer 1

Lo que está buscando se puede lograr utilizando la biblioteca AOP, como PostSharp (http://www.postsharp.org/). Es más complejo que utilizar el atributo Authorize en mvc, pero es bastante simple.

Answer 2

No, AuthorizeAttribute funciona porque el marco MVC invoca explícitamente antes de llamar al método. Una característica similar para su capa de servicio solo funcionaría si sus clientes también la invocaron explícitamente. No sería razonable suponer que incluso un cliente bien intencionado siempre recordaría a buscar el atributo e invocarlo. WCF has its own security. Debe usar eso en lugar de escribir el suyo.

Answer 3

Esto no debería ser demasiado difícil de hacer - hay un par de lugares que usted podría reflejar a cabo el atributo y manejarlo en consecuencia:

• al iniciar la aplicación en Global.asx puede personalizar el enrutamiento y ubicaciones para las vistas

• subyacentes eventos solicitud ASP.NET todavía disparar, por lo que podría invalidar uno de ellos

• Crear su propio controlador de base y anular OnActionExecuting

---

actualización siguiente comentario

Ahh, ya veo. En ese caso, si usted está haciendo llamadas directas a continuación, que debe salir Code Access Security, que creo que cubre lo que quiere decir.

Como alternativa, un atributo personalizado podría tener sentido siempre que use algún tipo de patrón de fábrica; luego, la llamada de reflexión que obtiene la fábrica podría verificar los atributos.

Si no está usando el reflejo para recuperar sus clases o llamar a sus métodos (que es esencialmente lo que hace el enrutamiento en MVC), entonces no tendrá la oportunidad de verificar sus atributos.

Answer 4

Otra forma de manejar esto es usar el atributo [PrincipalPermission] en su capa de servicio. Esto puede evitar que las personas que llaman ejecuten un método (o accedan a una clase completa) sin la autorización definida.