Attributo di autorizzazione personalizzata MVC per convalidare la richiesta

Question

Ho un'interfaccia utente con Jquery che effettua una chiamata a MVC utilizzando la richiesta Ajax.

Vorrei convalidare ogni richiesta con il profilo utente (classe personalizzata che contiene numero account, ID ecc.).

Qualcuno potrebbe suggerire se è possibile creare un Attributo di autorizzazione personalizzato per verificare che sia la richiesta sia il profilo utente siano uguali?

Vorrei poi fare qualcosa di simile di seguito:

[AuthorizeUser] 
public ActionResult GetMyConsumption(string accountNumber) 
{ 
    ..... 
    return View(); 
} 

Answer 1

si potrebbe scrivere autorizzare un attributo personalizzato:

public class AuthorizeUserAttribute : AuthorizeAttribute 
{ 
    protected override bool AuthorizeCore(HttpContextBase httpContext) 
    { 
     var isAuthorized = base.AuthorizeCore(httpContext); 
     if (!isAuthorized) 
     { 
      // The user is not authorized => no need to continue 
      return false; 
     } 

     // At this stage we know that the user is authorized => we can fetch 
     // the username 
     string username = httpContext.User.Identity.Name; 

     // Now let's fetch the account number from the request 
     string account = httpContext.Request["accountNumber"]; 

     // All that's left is to verify if the current user is the owner 
     // of the account 
     return IsAccountOwner(username, account); 
    } 

    private bool IsAccountOwner(string username, string account) 
    { 
     // TODO: query the backend to perform the necessary verifications 
     throw new NotImplementedException(); 
    } 
}