MVC3----应用程序的安全性(1)之Authorize

 

一、如何禁止匿名访问

1，配置Web.config文件

    <authentication mode="Forms">
      <forms loginUrl="~/Account/ZhangDi" timeout="2880" />
    </authentication>

2，控制器代码

①：阻止匿名访问：

         [Authorize]
        public ActionResult Edit(int id)
        {
            PersonError person = db.PersonErrors.Single(r => r.STU_ID == id);
            return View(person);
        }

 ②：还可以阻止匿名访问整个控制器：

        [Authorize]

        public class PersonErrorController : Controller
        {

        }

③：创建一个身份验证票证（有了这个就可以访问页面了）

        returnUrl：返回的路径

        [HttpPost]
        public ActionResult ZhangDi(string txtname, string returnUrl)
        {

            //第二个参数为true会记住密码

            FormsAuthentication.SetAuthCookie(txtname, false);

            //判断是否是有效的路径

            if (Url.IsLocalUrl(returnUrl) && returnUrl.Length > 1 && returnUrl.StartsWith("/")
                        && !returnUrl.StartsWith("//") && !returnUrl.StartsWith("/\\"))
                    {
                        return Redirect(returnUrl);
                    }
                    else
                    {
                        return RedirectToAction("Index", "Home");
                    }

        }

④：获取用户名称

            //是否验证了用户
            if(User.Identity.IsAuthenticated)
            {
                //获取用户名称
                string username = User.Identity.Name;
            }

 ⑤：删除身份验证票证

        public ActionResult LogOff()
        {
            FormsAuthentication.SignOut();

            return RedirectToAction("Index", "Home");
        }

 

 

 

二、对特定角色访问权限控制

 1，配置Web.config文件

    <authentication mode="Forms">
      <forms loginUrl="~/Account/ZhangDi" timeout="2880" />
    </authentication>

 

2，多种授权方式

①：对多个角色授权访问：

[Authorize(Roles="admin,superadmin")]

public class PersonErrorController : Controller
{

}

②：对多个用户授权访问：

[Authorize(Users="test1,test2")]

public class PersonErrorController : Controller
{

}

③：同时授权给用户和角色

[Authorize(Roles="admin,user",Users="test1,test2")]

public class PersonErrorController : Controller
{

}

 

3，控制器代码

①：在Global.asax配置Application_AuthenticateRequest事件（当安全模块已建立用户标识时发生）

        protected void Application_AuthenticateRequest()
        {
            if (HttpContext.Current.User != null)
            {
                if (HttpContext.Current.User.Identity.IsAuthenticated)
                {
                    if (HttpContext.Current.User.Identity is FormsIdentity)
                    {
                        FormsIdentity userident = (FormsIdentity)HttpContext.Current.User.Identity;
                        string UserData = userident.Ticket.UserData;
                        string[] roles = UserData.Split(',');
                        //设置用户角色
                        HttpContext.Current.User = new System.Security.Principal.GenericPrincipal(userident, roles);
                    }
                }
            }
        }

 

 

②：创建一个身份验证票证

        [HttpPost]
        public ActionResult ZhangDi(string txtname, string returnUrl)
        {
            FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(
                1,//票证的版本号
                txtname,//用户名 
                DateTime.Now,//票证发出的时间
                DateTime.Now.AddHours(1),//票证过期时间
                false , //是否将票证持久存储在cookie中(和记住密码没关系)
                "admin");//角色
            //加密验证票证
            string ticketEncrypt = FormsAuthentication.Encrypt(ticket);
            //实例化cookie
            HttpCookie cookie = new HttpCookie(FormsAuthentication.FormsCookieName, ticketEncrypt);
            
            //记住密码
            cookie.Expires = DateTime.MaxValue;
            cookie.Path = "/";
            //将cookie添加到cookie集中
            Response.Cookies.Add(cookie);
            return Redirect(returnUrl);
        }

 

③：获取用户名称

//是否验证了用户
if(User.Identity.IsAuthenticated)
{
//获取用户名称
string username = User.Identity.Name;
}

④：删除身份验证票证

public ActionResult LogOff()
{
FormsAuthentication.SignOut();

return RedirectToAction("Index", "Home");
}