Можно ли изменить поведение [Авторизовать] по умолчанию в ASP.NET MVC?

Да, взгляните на документы MSDN для AuthorizeAttribute: http://msdn.microsoft.com/en-us/library/system.web.mvc.authorizeattribute.aspx.

По сути, вы можете переопределить метод OnAuthorization () и настроить его поведение. Для атрибута есть и другие виртуальные методы.

РЕДАКТИРОВАТЬ: как указал Бруно, вы можете переопределить метод AuthorizeCore (). Основное отличие состоит в том, что AuthorizeCore () принимает HttpContextBase, а OnAuthorization () принимает AuthorizationContext. Экземпляр AuthorizationContext предоставляет вам дополнительную информацию, такую ​​как Контроллер, RequestContext и RouteData. Он также позволяет указать ActionResult.

AuthorizeCore () более ограничен в отношении информации, к которой вы можете получить доступ, а также результата, который вы можете вернуть, но если вам нужно авторизовать кэшированные данные, тогда ваша логика должна обрабатывать случай, когда у вас нет каких-либо из этих дополнительных данных ( поскольку данные обслуживаются из кеша до того, как запрос будет маршрутизирован через конвейер MVC).

Как всегда, вам необходимо понимать свой сценарий, доступные инструменты и компромиссы между ними.

Вы можете создать подкласс фильтра AuthorizeAttribute и поместить в него свою логику.

Посмотрим на пример. Допустим, вы хотите всегда разрешать локальные подключения. Однако, если это удаленное соединение, вы хотели бы сохранить обычную логику авторизации.

Вы можете сделать что-то вроде:

public class LocalPermittedAuthorizeAttribute : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
        {
            return (httpContext.Request.IsLocal || base.AuthorizeCore(httpContext)));
        }
}

Или вы всегда можете авторизовать определенный удаленный адрес (например, ваш компьютер).

Вот и все!

Изменить: забыл упомянуть, вы будете использовать его так же, как и фильтр AuthorizeAttribute:

class MyController : Controller
{
    [LocalPermittedAuthorize]
    public ActionResult Fire()
    {
        Missile.Fire(Datetime.Now);
    }
}

Реализуйте собственный поставщик ролей и настройте приложение на его использование. Тогда атрибут авторизации будет учитывать ваш код авторизации.

Я вижу только 2 способа: переопределить метод AuthorizeAttribute.OnAuthorization или создать свой собственный атрибут авторизации с нуля.

1) очень просто:

public class CustomAuthorizeAttribute : AuthorizeAttribute
{
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        base.OnAuthorization(filterContext);

        /// your behavior here
    }
}

2) тоже легко - просто посмотрите на источник ASP.NET MVC, файл AuthorizeAttribute.cs

Кажется, вы можете реализовать собственный фильтр как обычно (и наследовать AuthorizeAttribute, если хотите), а затем создать новый ActionInvoker, который наследует ControllerActionInvoker и переопределяет GetFilters. В GetFilters вы вызываете base.GetFilters() для получения списка фильтров, перебираете AuthorizationFilters и заменяете вызовы AuthorizeFilter вызовами вашего настраиваемого фильтра.

Другой потенциальный способ - реализовать настраиваемых поставщиков членства и ролей, в зависимости от того, что вы пытаетесь сделать.