位置：首頁 > 資訊 > 其他>策略實際上允許角色為內容編輯者或高級用戶的用戶

策略實際上允許角色為內容編輯者或高級用戶的用戶

發布時間：2018-07-16

欄目：其他

帝國cms文章批量更新助手織夢cms內容文章批量更新助手 SDCMS文章批量更新助手

　　光定義策略還不夠，還必須向授權中間件注冊策略。為此，請在 Startup 類的 ConfigureServices 方法中，將授權中間件添加為服務，如下所示：

　　services.AddAuthorization(options=>{ options.AddPolicy("ContentsEditor", policy => { policy.AddAuthenticationSchemes("Cookie, Bearer"); policy.RequireAuthenticatedUser(); policy.RequireRole("Admin"); policy.RequireClaim("editor", "contents"); });}

　　添加到中間件的每個策略都有一個名稱，用于在 Controller 類的 Authorize 屬性中引用策略：

　　[Authorize(Policy = "ContentsEditor")]publicIActionResult Save(Article article){ // ...}

　　使用 Authorize 屬性，可以聲明的方式設置策略，但也可以通過操作方法以編程方式調用策略，如圖 2所示。

　　圖 2：以編程方式檢查策略

　　publicclassAdminController : Controller{ privateIAuthorizationService _authorization; publicAdminController(IAuthorizationService authorizationService) { _authorization = authorizationService; } publicasyncTask{ options.AddPolicy("ContentsEditor", policy => { policy.AddAuthenticationSchemes("Cookie, Bearer"); policy.RequireAuthenticatedUser(); policy.RequireRole("Admin"); policy.RequireClaim("editor", "contents"); });}

　　添加到中間件的每個策略都有一個名稱，用于在 Controller 類的 Authorize 屬性中引用策略：

　　[Authorize(Policy = "ContentsEditor")]publicIActionResult Save(Article article){ // ...}

　　使用 Authorize 屬性，可以聲明的方式設置策略，但也可以通過操作方法以編程方式調用策略，如圖 2所示。

　　圖 2：以編程方式檢查策略

　　publicclassAdminController : Controller{ privateIAuthorizationService _authorization; publicAdminController(IAuthorizationService authorizationService) { _authorization = authorizationService; } publicasyncTask { policy.AddAuthenticationSchemes("Cookie, Bearer"); policy.RequireAuthenticatedUser(); policy.RequireRole("Admin"); policy.RequireClaim("editor", "contents"); });}

　　添加到中間件的每個策略都有一個名稱ASPCMS批量添加產品，用于在 Controller 類的 Authorize 屬性中引用策略：

　　[Authorize(Policy = "ContentsEditor")]publicIActionResult Save(Article article){ // ...}

　　使用 Authorize 屬性，可以聲明的方式設置策略，但也可以通過操作方法以編程方式調用策略，如圖 2所示。

　　圖 2：以編程方式檢查策略

　　publicclassAdminController : Controller{ privateIAuthorizationService _authorization; publicAdminController(IAuthorizationService authorizationService) { _authorization = authorizationService; } publicasyncTask Save(Article article) { varallowed = await_authorization.AuthorizeAsync( User, "ContentsEditor")); if(!allowed) returnnewForbiddenResult(); // Proceed with the method implementation ... }}

　　如果無法以編程方式檢查權限，建議返回 ForbiddenResult 對象。另一種選擇是，返回 ChallengeResult 對象。

　　在 ASP.NET Core 1.x 中ASPCMS批量刪除關鍵詞，返回質詢會指示授權中間件返回 401 狀態代碼，或將用戶重定向到登錄頁，具體視配置而定。

　　不過，ASP.NET Core 2.0 中不會發生重定向；即使在 ASP.NET Core 1.x 中，如果用戶已登錄，質詢最終也會指示返回 ForbiddenResult 對象。最后看來，最好的方法是在無法檢查權限時返回 ForbiddenResult 對象。

　　請注意，甚至可以在 Razor 視圖中以編程方式檢查策略，如下面的代碼所示：

　　@{ varauthorized = awaitAuthorization.AuthorizeAsync( User, "ContentsEditor"))}@if(!authorized){ You’re not authorized to access thispage.

　　}

　　不過，為了讓此代碼能夠正常運行，必須先注入對授權服務的依賴ASPCMS批量上傳內容，如下所示：

　　@inject IAuthorizationService Authorization

　　在視圖中使用授權服務，有助于隱藏當前用戶在給定上下文中不得接觸到的 UI 元素。但請注意，光在視圖中隱藏選項還不夠。始終還需要在控制器中強制執行策略。

　　自定義要求

　　常備要求基本上涵蓋了聲明、身份驗證，并提供了常規用途機制，用于根據斷言進行自定義，但也可以創建自定義要求。

　　策略要求由以下兩種元素組成：僅保留數據的要求類，以及對用戶驗證數據的授權處理程序。創建自定義要求，還可以進一步表達特定策略。例如，假設要將內容編輯者策略擴展為，增添用戶至少必須有三年經驗的要求。具體代碼如下：

　　publicclassExperienceRequirement : IAuthorizationRequirement{ publicintYears { get; privateset; } publicExperienceRequirement(intminimumYears) { Years = minimumYears; }}

　　要求至少必須有一個授權處理程序。處理程序的類型為 AuthorizationHandler，其中 T 是要求類型。圖 3 展示了 ExperienceRequirement 類型的示例處理程序。

　　圖 3：示例授權處理程序

　　publicclassExperienceHandler : AuthorizationHandler{ protectedoverrideTask HandleRequirementAsync( AuthorizationHandlerContext context, ExperienceRequirement requirement) { // Save User object to access claimsvaruser = context.User; if(!user.HasClaim(c => c.Type == "EditorSince")) returnTask.CompletedTask; varsince = user.FindFirst("EditorSince").Value.ToInt(); if(since >= requirement.Years) context.Succeed(requirement); returnTask.CompletedTask; }}

　　示例授權處理程序讀取與用戶關聯的聲明，并檢查自定義 EditorSince 聲明。如果找不到，處理程序便無法返回成功。只有在找到聲明且包含的整數值不低于指定年數時，才能返回成功。

　　自定義聲明應為一條信息，以某種方式與保存到身份驗證 Cookie 中的用戶相關聯（例如，“用戶”表中的列）。

　　不過，一旦保留對用戶的引用，便始終可以從聲明中找到用戶名，并對任何數據庫或外部服務運行查詢，以獲取經驗年數，從而在處理程序中使用此信息。（我承認，如果 EditorSince 值保留 DateTime，并計算用戶擔任編輯者是否已有一定年數，此示例會更真實一點。）

　　授權處理程序調用方法 Succeed，同時傳遞當前要求，以通知此要求已成功得到驗證。如果沒有傳遞要求，處理程序無需執行任何操作，可以直接返回內容。不過，如果處理程序要確定是否不符合要求（無論其他處理程序是否已成功驗證同一要求），將會對授權上下文對象調用方法 Fail。

　　下面展示了如何將自定義要求添加到策略（請注意，由于這是自定義要求，因此沒有擴展方法，而必須繼續處理策略對象的整個 Requirements 集合）：

　　services.AddAuthorization(options =>{ options.AddPolicy("AtLeast3Years", policy => policy .Requirements .Add(newExperienceRequirement(3)));});