Question

我没有完全掌握角色。使用[Authorize]属性

如果控制器和操作上有[Authorize]属性：

如果角色同时存在，则此角色将具有访问权限
当一个角色仅在Controller中定义，而不是在Action上定义，没有访问权限
如果角色仅在操作中定义，而不是在控制器上定义，则无法访问

我明白了，这是合乎逻辑的。您需要先访问控制器才能运行操作。

我不知道为什么这不起作用：

[Authorize(Roles = "Algemeen Beheer, Admin, Coordinator, Secretariaat")]
public class FacturatieGegevensController : Controller {

    [Authorize(Users = "Stefan.coordinator", Roles = "Algemeen Beheer, Admin")]
    public ActionResult Create(int instID) {

        return View();
    }

}

当我以具有Stefan.coordinator角色的用户coordinator登录时，我可以访问控制器，但我无法访问“创建操作”。我认为这是Users和Roles之间的OR关系。不是吗？以及如何让它发挥作用？

Answer 1

访问Create方法的条件是：

（（{Algemeen Beheer，Admin，协调员，秘书处}）） [来自控制器级] AND （（{Stefan.coordinator}中的用户名）和（{Algemeen Beheer，Admin}中的角色）） [来自方法级别]

一旦完成了所有的AND / OR，就会产生简单的结果：

{Stefan.coordinator}中的用户和{Algemeen Beheer，Admin}中的角色

即，在特定的AuthorizeAttribute中，用户和角色一起进行AND运算。在多个AuthorizeAttributes中，条件是AND在一起。

考虑到这一点的最佳方法是[Authorize]属性彼此不了解，因此每个属性都是独立执行的。首先是控制器级别的，然后是方法级别的。要访问该方法，您需要传递所有门。

编辑 - 有一个关于逻辑如何工作的问题，如上所述。

让：

A = ROLE is "Algemeen Beheer"
B = ROLE is "Admin"
C = ROLE is "Coordinator"
D = ROLE is "Secretariaat"
E = USER is "Stefan.coordinator"

由于控制器级别[授权]属性为（A || B || C || D），因此方法级[授权]属性为（E＆amp;（A || B）），并且多个[授权]属性由逻辑AND表示，逻辑最终为（A || B || C || D）＆amp;＆amp; （E＆amp;（A || B）），减少到E＆amp;＆amp; （A || B），要求用户将“Stefan.coordinator”和命名为“Algemeen Beheer”或“Admin”角色。由于用户Stefan.coordinator不属于这两个角色，因此检查失败。

针对您的特定问题..

如果要将自己的逻辑应用于[Authorize]属性检查，请继承AuthorizeAttribute并覆盖AuthorizeCore方法。这样你就可以说if（User ==“Stefan.coordinator”|| base.AuthorizeCore（...））{...}。

Answer 2

在控制器级别指定的 [Authorize] 是默认值，在没有为单个操作方法指定[Authorize]时使用。

这两个人不能一起工作，只有一个人会被执行。

如果在[Authorize]过滤器中同时指定用户和角色，则必须满足两者以允许访问该方法。

因此它是AND 而不是OR。

在MVC命令，优先级和功能问题中授权属性

2 个答案: