Come implementare l'attributo Autorizza personalizzato per il seguente caso?

Question

così ho il mio metodo d'azione

[Authorize(Roles="Admin")] 
public ActionResult EditPosts(int id) 
{ 
    return View(); 
} 

Nel mio caso ho bisogno di autorizzare gli amministratori in modo che possano modificare i messaggi ma (qui viene la parte fredda), ho anche bisogno di permettere il creatore del post per essere in grado per modificare il post che è un utente normale. Quindi, come posso filtrare l'utente che ha creato il post e gli amministratori ma lasciare gli altri non autorizzati? Sto ricevendo l'ID PostEntry come parametro del percorso ma questo dopo l'attributo e anche gli attributi accettano solo parametri costanti, sembra qualcosa di molto difficile, le tue risposte sono molto apprezzate, Saluti!

Answer 1

Si potrebbe scrivere un attributo autorizzare personalizzato:

public class AuthorizeAdminOrOwnerOfPostAttribute : AuthorizeAttribute 
{ 
    protected override bool AuthorizeCore(HttpContextBase httpContext) 
    { 
     var authorized = base.AuthorizeCore(httpContext); 
     if (!authorized) 
     { 
      // The user is not authenticated 
      return false; 
     } 

     var user = httpContext.User; 
     if (user.IsInRole("Admin")) 
     { 
      // Administrator => let him in 
      return true; 
     } 

     var rd = httpContext.Request.RequestContext.RouteData; 
     var id = rd.Values["id"] as string; 
     if (string.IsNullOrEmpty(id)) 
     { 
      // No id was specified => we do not allow access 
      return false; 
     } 

     return IsOwnerOfPost(user.Identity.Name, id); 
    } 

    private bool IsOwnerOfPost(string username, string postId) 
    { 
     // TODO: you know what to do here 
     throw new NotImplementedException(); 
    } 
} 

e poi decorare la vostra azione di controllo con esso:

[AuthorizeAdminOrOwnerOfPost] 
public ActionResult EditPosts(int id) 
{ 
    return View(); 
}