PROSAGA码农传奇-区块链扩展技术-Asp.net WebApi中的自定义授权

0# star*위위 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”>
  <BLOCKQUOTE>
    
      我应该使用哪种方法：IsAuthorized还是OnAuthorization？ （ 要么
  何时使用哪个）
    
  </BLOCKQUOTE>
  
    你会延长
     <code>
 AuthorizationFilterAttribute
 </code>
     如果您的授权逻辑不依赖于已建立的身份和角色。对于用户相关的授权，您将进行扩展和使用
     <code>
 AuthorizeAttribute
 </code>
    。对于前一种情况，您将覆盖
     <code>
 OnAuthorization
 </code>
    。对于后一种情况，您将覆盖
     <code>
 IsAuthorized
 </code>
    。正如您从这些属性的源代码中看到的那样，
     <code>
 OnAuthorization
 </code>
     标记为虚拟，如果您派生自，则覆盖
     <code>
 AuthorizationFilterAttribute
 </code>
    。另一方面，
     <code>
 IsAuthorized
 </code>
     方法标记为虚拟
     <code>
 AuthorizeAttribute
 </code>
    。我相信这是一个很好的指向预期用途的指针。
  
  <BLOCKQUOTE>
    
      我应该什么时候打电话给base.IsAuthorized或base.OnAuthorization？
    
  </BLOCKQUOTE>
  
    这个问题的答案在于OO如何运作。如果覆盖方法，则可以完全提供新实现，也可以依靠父级提供的实现来增强行为。例如，以案例为例
     <code>
 IsAuthorized(HttpActionContext)
 </code>
    。基类行为是根据过滤器中指定的内容与建立的标识检查用户/角色。说，你想做所有这些，但另外，你想检查别的东西，可能是基于请求标题或其他东西。在这种情况下，您可以提供这样的覆盖。
  
   <pre>
 <code>
 protected override bool IsAuthorized(HttpActionContext actionContext)
{
 bool isAuthroized = base.IsAuthorized(actionContext);
 // Here you look at the header and do your additional stuff based on actionContext
 // and store the result in isRequestHeaderOk
 // Then, you can combine the results
 // return isAuthorized && isRequestHeaderOk;
}

</code>
 </pre>
  
    对不起，但不明白你的Q3。 BTW，授权过滤器已经存在了很长时间，人们将它用于各种事情，有时甚至是错误的。
  
  <BLOCKQUOTE>
    
      还有一件事。最后这里有个人说：你
  不应该覆盖OnAuthorization - 因为你会丢失
  [AllowAnonymous]处理。
    
  </BLOCKQUOTE>
  
    那个说那是门禁之神的人 - 多米尼克。显然这是正确的。如果你看一下执行情况
     <code>
 OnAuthorization
 </code>
     （复制如下），
  
   <pre>
 <code>
 public override void OnAuthorization(HttpActionContext actionContext)
{
 if (actionContext == null)
 {
 throw Error.ArgumentNull("actionContext");
 }

if (SkipAuthorization(actionContext))
    {
        return;
    }

if (!IsAuthorized(actionContext))
    {
        HandleUnauthorizedRequest(actionContext);
    }
}

</code>
 </pre>
  
    打电话给
     <code>
 SkipAuthorization
 </code>
     是确保的部分
     <code>
 AllowAnonymous
 </code>
     应用过滤器，即跳过授权。如果重写此方法，则会丢失该行为。实际上，如果您决定将授权建立在用户/角色的基础上，那么您将决定从中获取
     <code>
 AuthorizeAttribute
 </code>
    。此时只剩下正确的选项将覆盖
     <code>
 IsAuthorized
 </code>
     而不是已经被覆盖的
     <code>
 OnAuthorization
 </code>
    ，虽然技术上可以做到。
  
  
    PS。在ASP.NET Web API中，还有另一个称为身份验证过滤器的过滤器。想法是您使用它进行身份验证和授权过滤器进行授权，如名称所示。但是，有很多这样的边界被捏造的例子。许多authroization过滤器示例将执行某种身份验证。无论如何，如果你有时间并想要了解更多，请看看这个MSDN
    <a href="http://msdn.microsoft.com/en-us/magazine/dn781361.aspx">
      文章
    </A>
    。免责声明：这是我写的。
  
</DIV>

1# 荧惑 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”>
  
    好的，我的建议是假设您使用OAuth承载令牌来保护您的Web API并且您在发布令牌时将allowedTime设置为用户声明，请执行以下操作。你可以阅读更多相关信息
    <a href="http://bitoftech.net/2014/06/01/token-based-authentication-asp-net-web-api-2-owin-asp-net-identity/">
      基于令牌的身份验证
    </A>
  
  <OL>
    <LI>
      创建从AuthorizationFilterAttribute派生的CustomAuthorizeAttribute
    </LI>
    <LI>
      
        覆盖方法
         <code>
 OnAuthorizationAsync
 </code>
         并使用以下示例代码：
      
       <pre>
 <code>
 public class CustomAuthorizeAttribute : AuthorizationFilterAttribute
{

public override Task OnAuthorizationAsync(HttpActionContext actionContext, System.Threading.CancellationToken cancellationToken)
    {

var principal = actionContext.RequestContext.Principal as ClaimsPrincipal;

if (!principal.Identity.IsAuthenticated)
 {
 return Task.FromResult<object>(null);
 }

var userName = principal.FindFirst(ClaimTypes.Name).Value;
        var userAllowedTime = principal.FindFirst("userAllowedTime").Value;

if (currentTime != userAllowedTime)
 {
 actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized, "Not allowed to access...bla bla");
 return Task.FromResult<object>(null);
 }

//User is Authorized, complete execution
 return Task.FromResult<object>(null);

}
}

</code>
 </pre>
    </LI>
    <LI>
      现在，在您的控制器中，您可以使用CustomAuthorize属性来使用此授权逻辑来保护您的控制器。
    </LI>
  </醇>
</DIV>

2# Just do it | 2019-08-31 10-32

Asp.net WebApi中的自定义授权 - 真是一团糟？