¿Cómo redirigir [Autorizar] a loginUrl solo cuando no se utilizan Roles?

Question

Me gustaría [Authorize] para redirigir a loginUrl a menos que también esté usando un rol, como [Authorize (Roles="Admin")]. En ese caso, simplemente quiero mostrar una página que indique que el usuario no está autorizado.

¿Qué debo hacer?

Answer 1

Aquí está el código de mi implementación modificada de AuthorizeAttribute; Lo llamé SecurityAttribute. La única cosa que he cambiado es el método OnAuthorization, y añade una propiedad de cadena adicional para la dirección URL para redirigir a una página no autorizada:

// Set default Unauthorized Page Url here 
private string _notifyUrl = "/Error/Unauthorized"; 

public string NotifyUrl { 
    get { return _notifyUrl; } set { _notifyUrl = value; } 
} 

public override void OnAuthorization(AuthorizationContext filterContext) { 
    if (filterContext == null) { 
     throw new ArgumentNullException("filterContext"); 
    } 

    if (AuthorizeCore(filterContext.HttpContext)) { 
     HttpCachePolicyBase cachePolicy = 
      filterContext.HttpContext.Response.Cache; 
     cachePolicy.SetProxyMaxAge(new TimeSpan(0)); 
     cachePolicy.AddValidationCallback(CacheValidateHandler, null); 
    } 

    /// This code added to support custom Unauthorized pages. 
    else if (filterContext.HttpContext.User.Identity.IsAuthenticated) 
    { 
     if (NotifyUrl != null) 
      filterContext.Result = new RedirectResult(NotifyUrl); 
     else 
      // Redirect to Login page. 
      HandleUnauthorizedRequest(filterContext); 
    } 
    /// End of additional code 
    else 
    { 
     // Redirect to Login page. 
     HandleUnauthorizedRequest(filterContext); 
    } 
} 

usted lo llama de la misma manera que el original AuthorizeAttribute, excepto que hay es una propiedad adicional para reemplazar la URL de la página no autorizada:

// Use custom Unauthorized page: 
[Security (Roles="Admin, User", NotifyUrl="/UnauthorizedPage")] 

// Use default Unauthorized page: 
[Security (Roles="Admin, User")] 

Answer 2

La forma más fácil que he encontrado es extender y personalizar el atributo Autorizar para que haga algo diferente (es decir, no establecer un HttpUnauthorizedResult) cuando falla la comprobación de función. Escribí un article sobre esto en mi blog que podría serle útil. El artículo describe mucho lo que usted desea, aunque va más allá y permite que el usuario que "posee" los datos también tenga acceso a la acción. Creo que debería ser bastante fácil de modificar para tus propósitos; solo necesitarías eliminar la parte "o el propietario".

Answer 3

extender la clase AuthorizeAttribute y anular HandleUnauthorizedRequest

public class RoleAuthorizeAttribute : AuthorizeAttribute 
{ 
    private string redirectUrl = ""; 
    public RoleAuthorizeAttribute() : base() 
    { 
    } 

    public RoleAuthorizeAttribute(string redirectUrl) : base() 
    { 
     this.redirectUrl = redirectUrl; 
    } 

    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) 
    { 
     if (filterContext.HttpContext.Request.IsAuthenticated) 
     { 
      string authUrl = this.redirectUrl; //passed from attribute 

      //if null, get it from config 
      if (String.IsNullOrEmpty(authUrl)) 
       authUrl = System.Web.Configuration.WebConfigurationManager.AppSettings["RolesAuthRedirectUrl"]; 

      if (!String.IsNullOrEmpty(authUrl)) 
       filterContext.HttpContext.Response.Redirect(authUrl); 
     } 

     //else do normal process 
     base.HandleUnauthorizedRequest(filterContext); 
    } 
} 

Uso

[RoleAuthorize(Roles = "Admin, Editor")] 
public class AccountController : Controller 
{ 

} 

Y asegúrese de agregar su entrada AppSettings en la configuración

<appSettings> 
    <add key="RolesAuthRedirectUrl" value="http://mysite/myauthorizedpage" /> 
</appSettings>