Я хочу заблокировать доступ к странице РЕДАКТИРОВАНИЯ пользователя (например, /user/pure.krome/edit), если
а) Identity.IsAuthenticated = false
или они аутентифицированы, но
б) Idenitity.Name! = имя пользователя страницы пользователя, которую они пытаются редактировать
c) Identity.UserType ()! = UserType.Administrator // Это похоже на роль, без использования RoleProviders.
Я предполагаю, что вы можете украсить контроллер или метод действия контроллера чем-то (ами), но я просто не уверен, что?
Посмотрите на AuthorizeAttribute.
ASP.Net MVC: можно ли переопределить атрибут AuthorizeAttribute?
Настраиваемый атрибут, производный от AuthorizeAttribute, - это то, что Я для этого делаю. Переопределите метод OnAuthorize и реализуйте ваша собственная логика.
public class OnlyUserAuthorizedAttribute : AuthorizeAttribute
{
public override void OnAuthorize( AuthorizationContext filterContext )
{
if (!filterContext.HttpContext.User.Identity.IsAuthenticated)
{
filterContext.Result = new HttpUnauthorizeResult();
}
...
}
}
Я реализовал следующий атрибут ActionFilterAttribute, и он работает как для аутентификации, так и для ролей. Я храню роли в своих таблицах БД следующим образом:
public class CheckRoleAttribute : ActionFilterAttribute
{
public string[] AllowedRoles { get; set; }
public override void OnActionExecuting(ActionExecutingContext filterContext)
{
string userName = filterContext.HttpContext.User.Identity.Name;
if (filterContext.HttpContext.User.Identity.IsAuthenticated)
{
if (AllowedRoles.Count() > 0)
{
IUserRepository userRepository = new UserRepository();
User user = userRepository.GetUser(userName);
bool userAuthorized = false;
foreach (Role userRole in user.Roles)
{
userAuthorized = false;
foreach (string allowedRole in AllowedRoles)
{
if (userRole.Name == allowedRole)
{
userAuthorized = true;
break;
}
}
}
if (userAuthorized == false)
{
filterContext.HttpContext.Response.Redirect("/Account/AccessViolation", true);
}
}
else
{
filterContext.HttpContext.Response.Redirect("/Account/AccessViolation", true);
}
}
else
{
filterContext.HttpContext.Response.Redirect(FormsAuthentication.LoginUrl + String.Format("?ReturnUrl={0}", filterContext.HttpContext.Request.Url.AbsolutePath), true);
}
}
Я называю это так ...
[CheckRole(AllowedRoles = new string[] { "admin" })]
public ActionResult Delete(int id)
{
//delete logic here
}
