È possibile disabilitare l'autorizzazione per un'azione in un controller MVC?

Question

Possiedo un attributo di autorizzazione su un controller, ma mi piacerebbe disattivarlo in un'unica azione. Ho creato il mio filtro di autorizzazione e aggiunto "Anonimo" all'elenco dei ruoli. Nel mio filtro, quindi, restituisco true se Anonymous appare nell'elenco dei ruoli.

Tuttavia, sembra che non superi la pagina di accesso come se l'autorizzazione del controller anticipasse qualcos'altro.

Answer 1

È possibile aggiungere [Authorize] alla classe controller e quindi aggiungere [AllowAnonymous] alla singola azione che non si desidera autorizzare. Esempio:

[Authorize] 
public class AccountController : Controller 
{ 
    public ActionResult Profile() 
    { 
     return View(); 
    } 

    [AllowAnonymous] 
    public ActionResult Login() 
    { 
     return View(); 
    } 
} 

Answer 2

Non aggiungere AuthorizationAttribute al tuo metodo di azione, dove non è richiesto per esempio.

mio attributo personalizzato

public class AuthorizationFilterAttribute : AuthorizeAttribute 
{ 
     Some code... 
} 

mio regolatore

public class UserController : BaseController, IDisposable 
{ 
     [AuthorizationFilterAttribute] 
     public ActionResult UserList() 
     { 
      //Authorize attribute will call when this action is executed 
     } 

     public ActionResult AddUser() 
     { 
      //Authorize attribute will not call when this action is executed 
     } 

} 

Io spero tu abbia il mio punto quello che sto cercando di dire voi.

================= Answer Aggiornato ========================== ===================== Crea un altro attributo come di seguito.

public sealed class AnonymousAttribute : Attribute { } 

Inserire il codice sotto il metodo OnAuthorization.

public override void OnAuthorization(AuthorizationContext filterContext) { 
      bool checkForAuthorization = filterContext.ActionDescriptor.IsDefined(typeof(AnonymousAttribute), true) 
      || filterContext.ActionDescriptor.ControllerDescriptor.IsDefined(typeof(AnonymousAttribute), true); 
      if (!skipAuthorization) { 
       base.OnAuthorization(filterContext); 
      } 
     } 

Answer 3

È possibile creare la propria versione dell'attributo.

C'è una domanda molto simile e c'è una buona risposta su come implementare il proprio attributo che gestisce questa situazione.

Override Authorize Attribute in ASP.NET MVC

Btw. potresti anche creare il controller che avrebbe l'autorizzazione per impostazione predefinita.

Base

[Authorize] 
public abstract class SecureControllerBase : Controller 
{ 
} 

Uso

public class MyController : SecureControllerBase 
{ 
} 

Answer 4

Basta aggiungere l'attributo alle azioni che si desidera filtrare, e non sulla classe controller. Non progettando azioni, esse non verranno filtrate, a condizione che il controller o uno dei suoi controllori di base non abbia ottenuto l'attributo.

Answer 5

Ho appena eseguito una soluzione utilizzando Azure ACS come provider di identità federato e la risposta accettata non ha funzionato per me. Per coloro che stanno lottando, la mia soluzione era quella di bypassare del tutto la sicurezza per il controller/le viste richieste.

Creare un nuovo controller/viste per quelle azioni che è necessario ignorare l'autorizzazione.

E nel web.config aggiungere quanto segue,

<location path="TheNameOfTheControllerYouWantToBypass"> 
    <system.web> 
    <authorization> 
    <allow users="*" /> 
    </authorization> 
    </system.web> 
</location>