C# asp.net MVC 权限设计(续）

因为是转载文章 在此标明出处，以前有文章是转的没标明的请谅解，因为有些已经无法找到出处，或者与其它原因。

如有冒犯请联系本人，或删除，或标明出处。

因为好的文章，以前只想收藏，但连接有时候会失效，所以现在碰到好的直接转到自己这里。

原文 出处http://www.cnblogs.com/xiaoqi/archive/2011/01/24/1942880.html

asp.net MVC 权限设计一文中没有demo放出来,应大家的要求，这里补充上文并放出demo。

 

几点说明：

 

    1、基于将角色与controller、action相关联来判断用户是否有权

    2、通过自定义AuthorizeAttribute实现

    3、demo 仅供参考，一些规则可以根据实际情况重新定义

 

简明需求

1、可以对每个action实现权限控制，并且可以在数据库动态配置

2、权限分为允许所有人访问、允许注册用户访问、允许\禁止特定角色人访问

 

数据库设计

 

在demo里不使用数据库，这里给出表对应的类

+ View Code

核心流程

 

我们见一个Database类来模拟数据库

+ View Code

来看我们的主要代码

  /// <summary>
/// 自定义AuthorizeAttribute
/// </summary>
public  class  UserAuthorizeAttribute : AuthorizeAttribute
{

    public  override  void  OnAuthorization(AuthorizationContext filterContext)
    {
        var  user = filterContext.HttpContext.Session[ "CurrentUser" ] as  User;

        // 用户为空，赋予Guest
        if  (user == null )
        {
            user = Database.Users.Find(u => u.Name == "Guest" );
        }

        var  controller = filterContext.RouteData.Values[ "controller" ].ToString();
        var  action = filterContext.RouteData.Values[ "action" ].ToString();
        var  isAllowed = this .IsAllowed(user, controller, action);

        if  (!isAllowed)
        {
            filterContext.RequestContext.HttpContext.Response.Write( "无权访问" );
            filterContext.RequestContext.HttpContext.Response.End();
        }

    }

    /// <summary>
    /// 判断是否允许访问
    /// </summary>
    /// <span name="user"> </span>用户
    /// <span name="controller"> </span>控制器
    /// <span name="action"> </span>action
    /// <returns>是否允许访问</returns>
    public  bool  IsAllowed(User user, string  controller, string  action)
    {

        // 找controllerAction
        var  controllerAction = Database.ControllerActions.Find(ca => ca.IsController == false  && ca.Name == action && ca.ControllName == controller);

        //action无记录，找controller
        if  (controllerAction == null )
        {
            controllerAction = Database.ControllerActions.Find(ca => ca.IsController && ca.Name == controller);
        }

        // 无规则
        if  (controllerAction == null )
        {
            return  true ;
        }


        // 允许没有角色的：也就是说允许所有人，包括没有登录的用户
        if  (controllerAction.IsAllowedNoneRoles)
        {
            return  true ;
        }

        // 允许所有角色：只要有角色，就可以访问
        if  (controllerAction.IsAllowedAllRoles)
        {
            var  roles = Database.UserRoles.FindAll(ur => ur.UserId == user.Id);
            if  (roles.Count > 0)
            {
                return  true ;
            }
            else
            {
                return  false ;
            }
        }


        // 选出action对应的角色
        var  actionRoles = Database.ControllerActionRoles.FindAll(ca => ca.ControllerActioId == controllerAction.Id).ToList();

        if  (actionRoles.Count == 0)
        {
            // 角色数量为0，也就是说没有定义访问规则，默认允许访问
            return  true ;
        }

        var  userHavedRolesids = Database.UserRoles.FindAll(ur => ur.UserId == user.Id).Select(ca => ca.RoleId).ToList();

        // 查找禁止的角色
        var  notAllowedRoles = actionRoles.FindAll(r => !r.IsAllowed).Select(ca => ca.RoleId).ToList();
        if  (notAllowedRoles.Count > 0)
        {
            foreach  ( int  roleId in  notAllowedRoles)
            {
                // 用户的角色在禁止访问列表中，不允许访问
                if  (userHavedRolesids.Contains(roleId))
                {
                    return  false ;
                }
            }
        }

        // 查找允许访问的角色列表
        var  allowRoles = actionRoles.FindAll(r => r.IsAllowed).Select(ca => ca.RoleId).ToList();
        if  (allowRoles.Count > 0)
        {
            foreach  ( int  roleId in  allowRoles)
            {
                // 用户的角色在访问的角色列表
                if  (userHavedRolesids.Contains(roleId))
                {
                    return  true ;
                }
            }
        }

        // 默认禁止访问
        return  false ;
    }

}

测试

[HandleError]
[UserAuthorize]
public  class  HomeController : Controller
{
    public  ActionResult Index()
    {
        ViewData[ "Message" ] = "欢迎使用 ASP.NET MVC!" ;

        return  View();
    }
    public  ActionResult Admin()
    {
        ViewData[ "Message" ] = "只有管理员才能访问!" ;

        return  View( "Index" );
    }
    public  ActionResult User()
    {
        ViewData[ "Message" ] = "只要是注册用户就能访问!" ;

        return  View( "Index" );
    }
    public  ActionResult UserOnly()
    {
        ViewData[ "Message" ] = "只能是User才能能访问!" ;

        return  View( "Index" );
    }

    public  ActionResult Login( string  user)
    {
        Session[ "CurrentUser" ] = Database.Users.Find(u => u.Name == user);
        if  (Session[ "CurrentUser" ] != null )
        {
            ViewData[ "Message" ] = "你已登录为"  + user;
        }

        return  View( "Index" );
    }


    public  ActionResult About()
    {
        return  View();
    }
}

 

1、登录为Admin

 

访问Admin

 

访问User

 

访问UserOnly

 

2、登录为User

 

访问Admin

 

访问User

访问UserOnly

 

demo下载 MVCRole.rar