Come reindirizzare [Autorizza] per loginUrl solo quando i ruoli non vengono utilizzati?

Question

Vorrei reindirizzare a loginUrl a meno che non stia utilizzando anche un ruolo, ad esempio [Authorize (Roles="Admin")]. In tal caso, voglio semplicemente visualizzare una pagina che dice che l'utente non è autorizzato.

Cosa devo fare?

Answer 1

Ecco il codice dalla mia implementazione modificata di AuthorizeAttribute; L'ho chiamato SecurityAttribute. L'unica cosa che ho cambiato è il metodo OnAuthorization, e ho aggiunto una proprietà stringa aggiuntiva per l'URL per reindirizzare a una pagina non autorizzata:

// Set default Unauthorized Page Url here 
private string _notifyUrl = "/Error/Unauthorized"; 

public string NotifyUrl { 
    get { return _notifyUrl; } set { _notifyUrl = value; } 
} 

public override void OnAuthorization(AuthorizationContext filterContext) { 
    if (filterContext == null) { 
     throw new ArgumentNullException("filterContext"); 
    } 

    if (AuthorizeCore(filterContext.HttpContext)) { 
     HttpCachePolicyBase cachePolicy = 
      filterContext.HttpContext.Response.Cache; 
     cachePolicy.SetProxyMaxAge(new TimeSpan(0)); 
     cachePolicy.AddValidationCallback(CacheValidateHandler, null); 
    } 

    /// This code added to support custom Unauthorized pages. 
    else if (filterContext.HttpContext.User.Identity.IsAuthenticated) 
    { 
     if (NotifyUrl != null) 
      filterContext.Result = new RedirectResult(NotifyUrl); 
     else 
      // Redirect to Login page. 
      HandleUnauthorizedRequest(filterContext); 
    } 
    /// End of additional code 
    else 
    { 
     // Redirect to Login page. 
     HandleUnauthorizedRequest(filterContext); 
    } 
} 

Si chiamano allo stesso modo come l'originale AuthorizeAttribute, tranne che non è una proprietà aggiuntiva per ignorare il non autorizzato URL della pagina:

// Use custom Unauthorized page: 
[Security (Roles="Admin, User", NotifyUrl="/UnauthorizedPage")] 

// Use default Unauthorized page: 
[Security (Roles="Admin, User")] 

Answer 2

Il modo più semplice che ho trovato è estendere e personalizzare l'AuthorizeAttribute in modo che faccia qualcosa di diverso (cioè, non impostare un HttpUnauthorizedResult) quando il controllo del ruolo fallisce. Ho scritto uno article sul mio blog che potresti trovare utile. L'articolo descrive molto ciò che si desidera, anche se va oltre e consente all'utente che "possiede" i dati di accedere anche all'azione. Penso che dovrebbe essere abbastanza facile da modificare per i tuoi scopi: devi solo rimuovere la parte "o proprietario".

Answer 3

estendere la classe AuthorizeAttribute e sovrascrivere HandleUnauthorizedRequest

public class RoleAuthorizeAttribute : AuthorizeAttribute 
{ 
    private string redirectUrl = ""; 
    public RoleAuthorizeAttribute() : base() 
    { 
    } 

    public RoleAuthorizeAttribute(string redirectUrl) : base() 
    { 
     this.redirectUrl = redirectUrl; 
    } 

    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext) 
    { 
     if (filterContext.HttpContext.Request.IsAuthenticated) 
     { 
      string authUrl = this.redirectUrl; //passed from attribute 

      //if null, get it from config 
      if (String.IsNullOrEmpty(authUrl)) 
       authUrl = System.Web.Configuration.WebConfigurationManager.AppSettings["RolesAuthRedirectUrl"]; 

      if (!String.IsNullOrEmpty(authUrl)) 
       filterContext.HttpContext.Response.Redirect(authUrl); 
     } 

     //else do normal process 
     base.HandleUnauthorizedRequest(filterContext); 
    } 
} 

Uso

[RoleAuthorize(Roles = "Admin, Editor")] 
public class AccountController : Controller 
{ 

} 

E assicurarsi di aggiungere la voce AppSettings nella configurazione

<appSettings> 
    <add key="RolesAuthRedirectUrl" value="http://mysite/myauthorizedpage" /> 
</appSettings>