¿Cómo restrinjo el acceso a ciertas páginas en ASP.NET MVC?

Question

deseo de bloquear el acceso a la página de edición de un usuario (por ejemplo. /user/pure.krome/edit) si

a) Identity.IsAuthenticated = false

o se autentican pero

b) Idenitity.Name! = nombre de usuario de la página de usuario que intentan editar
c) Identity.UserType()! = UserType.Administrator // Esto es como un Rol, sin utilizar RoleProviders.

Supongo que puede decorar un controlador o el método de acción de un controlador con algo (s), pero no estoy seguro de qué?

Answer 1

Mire el AuthorizeAttribute.

ASP.Net MVC: Can the AuthorizeAttribute be overriden?

Answer 2

Un atributo personalizado derivado de AuthorizeAttribute es lo que uso para hacer esto. Reemplace el método OnAuthorize e implemente su propia lógica.

public class OnlyUserAuthorizedAttribute : AuthorizeAttribute 
{ 
    public override void OnAuthorize(AuthorizationContext filterContext) 
    { 
     if (!filterContext.HttpContext.User.Identity.IsAuthenticated) 
     { 
      filterContext.Result = new HttpUnauthorizeResult(); 
     } 
     ... 
    } 
} 

Answer 3

que implementaron las siguientes ActionFilterAttribute y funciona para manejar la autenticación y roles. Estoy almacenando papeles en mis propias tablas de BD así:

• usuario
• UserRole (contiene ID de usuario y las claves externas RoleID)
• papel

public class CheckRoleAttribute : ActionFilterAttribute 
{ 
    public string[] AllowedRoles { get; set; } 


    public override void OnActionExecuting(ActionExecutingContext filterContext) 
    { 
     string userName = filterContext.HttpContext.User.Identity.Name; 

     if (filterContext.HttpContext.User.Identity.IsAuthenticated) 
     { 
      if (AllowedRoles.Count() > 0) 
      { 
       IUserRepository userRepository = new UserRepository(); 
       User user = userRepository.GetUser(userName); 
       bool userAuthorized = false; 
       foreach (Role userRole in user.Roles) 
       { 
        userAuthorized = false; 
        foreach (string allowedRole in AllowedRoles) 
        { 
         if (userRole.Name == allowedRole) 
         { 
          userAuthorized = true; 
          break; 
         } 
        } 
       } 
       if (userAuthorized == false) 
       { 
        filterContext.HttpContext.Response.Redirect("/Account/AccessViolation", true); 
       } 
      } 
      else 
      { 
       filterContext.HttpContext.Response.Redirect("/Account/AccessViolation", true); 
      } 
     } 
     else 
     { 
      filterContext.HttpContext.Response.Redirect(FormsAuthentication.LoginUrl + String.Format("?ReturnUrl={0}", filterContext.HttpContext.Request.Url.AbsolutePath), true); 
     } 


    } 

Yo llamo a esto como esto ...

[CheckRole(AllowedRoles = new string[] { "admin" })] 
    public ActionResult Delete(int id) 
    { 
     //delete logic here 
    }