ASP.NET MVC 4 Attributo di autorizzazione personalizzato con codici di autorizzazione (senza ruoli)

Question

Devo controllare l'accesso alle viste in base ai livelli di privilegio degli utenti (non ci sono ruoli, solo i livelli di privilegio per i livelli di operazione CRUD assegnati agli utenti) nel mio Applicazione MVC 4.

Esempio come sotto AuthorizeUser sarà il mio attributo personalizzato abd Devo usarlo come di seguito.

È possibile fare? Come? Grazie in anticipo ...

Chatura

Answer 1

ho potuto fare questo con un attributo personalizzato come segue.

[AuthorizeUser(AccessLevel = "Create")] 
public ActionResult CreateNewInvoice() 
{ 
    //... 
    return View(); 
} 

Classi di attributi personalizzati come segue.

public class AuthorizeUserAttribute : AuthorizeAttribute 
{ 
    // Custom property 
    public string AccessLevel { get; set; } 

    protected override bool AuthorizeCore(HttpContextBase httpContext) 
    { 
     var isAuthorized = base.AuthorizeCore(httpContext); 
     if (!isAuthorized) 
     {     
      return false; 
     } 

     string privilegeLevels = string.Join("", GetUserRights(httpContext.User.Identity.Name.ToString())); // Call another method to get rights of the user from DB 

     return privilegeLevels.Contains(this.AccessLevel);   
    } 
} 

È possibile reindirizzare un utente non autorizzato nella vostra abitudine AuthorisationAttribute sovrascrivendo il metodo HandleUnauthorizedRequest:

protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) 
{ 
    filterContext.Result = new RedirectToRouteResult(
       new RouteValueDictionary(
        new 
         { 
          controller = "Error", 
          action = "Unauthorised" 
         }) 
       ); 
} 

Answer 2

Ecco una modifica per la prev. risposta. La differenza principale è quando l'utente non è autenticato, utilizza il metodo originale "HandleUnauthorizedRequest" per reindirizzare alla pagina di login:

protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) 
    { 

     if (filterContext.HttpContext.User.Identity.IsAuthenticated) { 

      filterContext.Result = new RedirectToRouteResult(
         new RouteValueDictionary(
          new 
          { 
           controller = "Account", 
           action = "Unauthorised" 
          }) 
         ); 
     } 
     else 
     { 
      base.HandleUnauthorizedRequest(filterContext); 
     } 
    }