Overriding controller AuthorizeAttribute para una sola acción

Question

Tengo un controlador decorado con un AuthorizeAttribute. El controlador contiene varias acciones que requieren autenticación, aparte de una acción que requiere alguna autenticación personalizada proporcionada por CustomAuthorizeAttribute.

Mi pregunta es cuando agregué [Authorize] en el nivel del controlador ¿puedo anularlo (o eliminarlo) con [CustomAuthorize] en una sola acción? ¿O debo eliminar [Authorize] del nivel del controlador y agregarlo individualmente a cada otra acción?

Estoy pidiendo puramente por conveniencia porque soy flojo y no quiero decorar cada acción con AuthorizeAttribute.

[Authorize] 
public class MyController : Controller { 

    //requires authentication 
    public ViewResult Admin() { 
    return View(); 
    } 

    //... a lot more actions requiring authentication 

    //requires custom authentication 
    [CustomAuthorize] //never invoked as already failed at controller level 
    public ViewResult Home() { 
    return View(); 
    } 

} 

Answer 1

Usted puede cambiar el orden en el que se ejecutan los atributos (con la propiedad de la orden), pero creo que en este caso serán siendo ambos funcionan a menos que uno genera un resultado con efecto inmediato. La clave es tener el atributo menos restrictivo aplicado en el nivel más alto (clase) y ser más restrictivo para los métodos. Si desea que la acción Home esté a disposición del público, por ejemplo, deberá eliminar el atributo Autorizar de la clase y aplicarlo a cada uno de los otros métodos.

Si la acción tiene el mismo nivel de permisividad, pero tiene un resultado diferente, puede ser suficiente cambiar el orden. Por ejemplo, normalmente redirigiría a la acción Logon, pero para Home desea redirigir a la acción About. En este caso, otorgue el atributo de clase Order=2 y el atributo de acción HomeOrder=1.

Answer 2

Después de mucho tiempo, se me ocurrió una solución. Necesita decorar su controlador con un AuthorizeAttribute personalizado.

public class OverridableAuthorize : AuthorizeAttribute 
{ 
    public override void OnAuthorization(AuthorizationContext filterContext) 
    { 
     var action = filterContext.ActionDescriptor; 
     if(action.IsDefined(typeof(IgnoreAuthorization), true)) return; 

     var controller = action.ControllerDescriptor; 
     if(controller.IsDefined(typeof(IgnoreAuthorization), true)) return; 

     base.OnAuthorization(filterContext); 
    } 
} 

Cuál puede ser emparejado con IgnoreAuthorization en una acción

public class IgnoreAuthorization : Attribute 
{ 
} 

Answer 3

En MVC 5 puede anular la autorización para cualquier acción utilizando el nuevo atributo OverrideAuthorization. Básicamente, lo agrega a una acción que tiene una configuración de autorización diferente a la definida en el controlador.

lo haces de esta manera:

[OverrideAuthorization] 
[Authorize(Roles = "Employee")] 
public ActionResult List() { ... } 

Más información en http://www.c-sharpcorner.com/UploadFile/ff2f08/filter-overrides-in-Asp-Net-mvc-5/