Question

在我的Web应用程序中，我想以这种方式根据用户应用策略。例如，我有3条政策；

允许在星期一进入。
允许在特定时间进入。
禁止进入。
...

用户John激活了策略1，而用户Richard仅激活了策略2。例如，如果用户John在我的应用程序中注册了ok，但是在某个控制器中则不允许执行该步骤，因为它是星期一。这些条件可以在执行时间更改。如何在动作控制器中动态添加策略？

我一直在寻找，但是我在asp.net核心中看到的是我必须向启动注册策略，并且这不符合我的逻辑。

Answer 1

我认为有两个关键可以彻底解决这个问题：

使用multiple handlers for a single requirement允许单个端点由不同规则授权
使用dependency injection in requirement handlers允许处理程序中的动态规则/数据

多个处理程序

首先，创建一个简单的要求：

public class CustomPolicyRequirement : IAuthorizationRequirement { }

然后，为其创建所需的处理程序。我根据您描述的策略制作了一些非常简单的示例处理程序：

public class MondaysRequirementHandler : AuthorizationHandler<CustomPolicyRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, CustomPolicyRequirement requirement)
    {
        // Allow John in on Mondays
        if (DateTime.Now.DayOfWeek == DayOfWeek.Monday && context.User.Identity.Name == "John")
            context.Succeed(requirement);

        return Task.CompletedTask;
    }
}

public class EveningsOnlyRequirementHandler : AuthorizationHandler<CustomPolicyRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, CustomPolicyRequirement requirement)
    {
        var now = DateTime.Now;

        // Allow Richard in, as long as it's between 18:00 and 22:00
        if (now.Hour >= 18 && now.Hour < 22 && context.User.Identity.Name == "Richard")
            context.Succeed(requirement);

        return Task.CompletedTask;
    }
}

public class ProhibitedUserRequirementHandler : AuthorizationHandler<CustomPolicyRequirement>
{
    readonly IProhibitedUsersService prohibitedUsersService;

    public ProhibitedUserRequirementHandler(IProhibitedUsersService prohibitedUsersService)
        => this.prohibitedUsersService = prohibitedUsersService;

    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, CustomPolicyRequirement requirement)
    {
        // Don't let prohbited users in, even if other handlers are satisfied
        if (prohibitedUsersService.IsUserProhibited(context.User.Identity))
            context.Fail();

        return Task.CompletedTask;
    }
}

由于所有处理程序都与CustomPolicyRequirement相关联，因此只要至少一个处理程序成功，而没有一个失败，则将满足要求。无论成功还是失败的处理程序都不会影响结果。

动态数据

第三个示例处理程序取决于依赖项注入服务：

public interface IProhibitedUsersService
{
    bool IsUserProhibited(IIdentity user);
}

可以实现该服务以从SQL数据库（或任何其他来源）获取数据，这将允许在应用程序运行时调整规则。

Asp Core MVC 2.1是否基于每个用户的策略进行授权？

1 个答案:

多个处理程序

动态数据