ASP.NET MVC授權過濾器用法

2022-03-16 10:00:16

過濾器

過濾器(Filter)的出現使得我們可以在ASP.NET MVC程式裡更好的控制瀏覽器請求過來的URL，並不是每個請求都會響應內容，只有那些有特定許可權的使用者才能響應特定的內容。過濾器理論上有以下功能：

判斷登入與否或者使用者許可權。
決策輸出快取。
防盜鏈。
防蜘蛛。
在地化與國際化設定。
實現動態Action（做許可權管理系統經常用到）。

1、使用方式一

第一種方法是在Controller或Action上面直接使用Authorize特性，不設定特性的任何屬性。看下面的截圖：

從上面的截圖中可以看出：第一個名為Index的Action方法是沒有過濾的，任何身份的請求都可以通過。只需要在瀏覽器的URL位址列裡面輸入：http://localhost:**/Admin/Index就能得到對應的檢視響應，效果如下：

而第二個名為Welcome的Action方法上面使用了Authorize特性，表示這是一個只處理那些通過身份驗證的URL的請求，頁面請求效果如下：

這時可以看到報錯了：提示只有通過身份驗證的使用者才能存取請求所需的資源。

這種報錯頁面很不友好，一般這種情況都是跳轉到登入頁面讓使用者進行登入，所以對程式進行如下的改造。

1.1、新增登入頁面

新建Account控制器，並新建兩個Action方法，程式碼如下：

using MVCAuthorizeFilterDemo.Models;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;
using System.Web.Security;

namespace MVCAuthorizeFilterDemo.Controllers
{
    public class AccountController : Controller
    {
        // GET: Account
        public ActionResult Index()
        {
            return View();
        }

        /// <summary>
        /// 顯示登入檢視
        /// </summary>
        /// <returns></returns>
        public ActionResult LogOn()
        {
            LogOnViewModel model = new LogOnViewModel();
            return View(model);

        }

        /// <summary>
        /// 處理使用者點選登入提交回發的表單
        /// </summary>
        /// <param name="model"></param>
        /// <returns></returns>
        [HttpPost]
        public ActionResult LogOn(LogOnViewModel model)
        {
            //只要輸入的使用者名稱和密碼一樣就過
            if (model.UserName.Trim() == model.Password.Trim()) 
            {
                // 判斷是否勾選了記住我
                if (model.RememberMe)
                {
                    //2880分鐘有效期的cookie
                    FormsAuthentication.SetAuthCookie(model.UserName, true);
                }            
                else
                {
                    //對談cookie
                    FormsAuthentication.SetAuthCookie(model.UserName, false); 
                } 
                // 跳轉到Account控制器的Welcome方法
                return RedirectToAction("Welcome", "Admin");
            }
            else
            {
                return View(model);
            }
                
        }
    }
}

LogOnViewModel是使用者登入實體類，定義如下：

using System;
using System.Collections.Generic;
using System.ComponentModel;
using System.Linq;
using System.Web;

namespace MVCAuthorizeFilterDemo.Models
{
    // <summary>
    /// 使用者登入實體類
    /// </summary>
    public class LogOnViewModel
    {
        /// <summary>
        /// 使用者名稱
        /// </summary>
        [DisplayName("使用者名稱")]
        public string UserName { get; set; }

        /// <summary>
        /// 密碼
        /// </summary>
        [DisplayName("密碼")]
        public string Password { get; set; }

        /// <summary>
        /// 記住我
        /// </summary>
        [DisplayName("記住我")]
        public bool RememberMe { get; set; }

    }
}

LogOn檢視頁程式碼如下：

@model MVCAuthorizeFilterDemo.Models.LogOnViewModel
@{
    Layout = null;
}

<!DOCTYPE html>

<html>
<head>
    <meta name="viewport" content="width=device-width" />
    <title>LogOn</title>
</head>
<body>
    @using (Html.BeginForm())
    {
        @Html.AntiForgeryToken()

        <div class="form-horizontal">
            <h4>登入</h4>
            <hr />
            @Html.ValidationSummary(true)

            <div class="form-group">
                @Html.LabelFor(model => model.UserName, new { @class = "control-label col-md-2" })
                <div class="col-md-10">
                    @Html.EditorFor(model => model.UserName)
                    @Html.ValidationMessageFor(model => model.UserName)
                </div>
            </div>

            <div class="form-group">
                @Html.LabelFor(model => model.Password, new { @class = "control-label col-md-2" })
                <div class="col-md-10">
                    @Html.EditorFor(model => model.Password)
                    @Html.ValidationMessageFor(model => model.Password)
                </div>
            </div>

            <div class="form-group">
                @Html.LabelFor(model => model.RememberMe, new { @class = "control-label col-md-2" })
                <div class="col-md-10">
                    @Html.EditorFor(model => model.RememberMe)
                    @Html.ValidationMessageFor(model => model.RememberMe)
                </div>
            </div>

            <div class="form-group">
                <div class="col-md-offset-2 col-md-10">
                    <input type="submit" value="登入" class="btn btn-default" />
                </div>
            </div>
        </div>
    }
</body>
</html>

1.2、修改組態檔

在上面的案例中，如果許可權認證沒有通過會顯示錯誤頁面，這種情況下要跳轉到登入頁面讓使用者進行登入，所以要再組態檔裡面設定登入頁面，如果沒有通過身份認證就會跳轉到組態檔裡面設定的登入頁面，組態檔程式碼如下：

<!--設定登入頁面-->
<authentication mode="Forms">
   <forms loginUrl="~/Account/LogOn" timeout="2880" />
</authentication>

1.3、測試

改造完以後重新生成，在URL位址列裡面輸入：http://localhost:39175/Admin/Index，頁面顯示效果如下：

在存取Welcome方法，輸入：http://localhost:39175/Admin/Welcome，頁面顯示效果如下：

從上圖中可以看出雖然存取的是Welcome這個Action，但是並沒有直接返回相應的檢視，而是被帶到了登入頁面，這是因為Welcome這個Action上面使用了Authorize特性，拒絕了所有未登入使用者的存取。

上面既然拒絕了未驗證使用者的存取，那麼就登入下通過驗證。看上面LogOn裡面的程式碼就知道，只要輸入的使用者名稱和密碼相同就可以登入，都輸入“admin”，這時頁面顯示如下：

截圖表明已經通過驗證並且得到了Welcome這個Action的相應。按F12開啟控制檯，會發現這時多了一個名為“.ASPXAUTH”的Cookie，這個是預設名稱，在組態檔裡面可以修改。如果登入的時候勾選了記住我，那麼此Cookie的過期時間就是在組態檔裡面定義的2880分鐘。

2、使用方式二

許可權過濾器的第二種用法：基於使用者授權和基於角色授權。

基於角色授權就是給Authorize特性的Roles屬性賦值，多個角色可以使用逗號分隔。基於使用者授權就是給Authorize特性的Users屬性賦值，如果是多個使用者也可以使用逗號分隔。驗證不通過時也可以通過web.config進行設定。

繼續基於上面的案例進行改造，只允許登入名為“a”、“b”的兩個使用者可以存取Welcome方法，改造後的程式碼如下：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;

namespace MVCAuthorizeFilterDemo.Controllers
{
    public class AdminController : Controller
    {
        // GET: Admin
        public ActionResult Index()
        {
            return View();
        }

        /// <summary>
        /// 使用方式一：直接使用Authorize特性，特性不新增任何屬性
        /// </summary>
        /// <returns></returns>
        //[Authorize]
        //public ActionResult Welcome()
        //{
        //    return View();
        //}


        /// <summary>
        /// 使用方式二：使用Authorize特性，新增Users屬性，只能a、b登入使用者才可以存取
        /// </summary>
        /// <returns></returns>
        [Authorize(Users ="a,b")]
        public ActionResult Welcome()
        {
            return View();
        }
    }
}

再次存取http://localhost:39175/Admin/Welcome，然後用admin登入，這時會發現頁面不會跳轉到Welcome方法對應的頁面，還是顯示登入頁。如果換成a或者b登入就會顯示Welcome對應的頁面了，這說明設定的Users屬性起作用了。

到此這篇關於ASP.NET MVC授權過濾器用法的文章就介紹到這了。希望對大家的學習有所幫助，也希望大家多多支援it145.com。