Asp.net mvc 3 ASP.NET MVC中的Authorize属性
我很难理解ASP.NET MVC中Asp.net mvc 3 ASP.NET MVC中的Authorize属性,asp.net-mvc-3,Asp.net Mvc 3,我很难理解ASP.NET MVC中[Authorize]属性的实际用法。按照这个概念，如果我们用[Authorize]属性修饰控制器方法，那么只有经过身份验证的用户才能访问控制器 我开发了一个ASP.NET MVC应用程序，没有使用[Authorize]属性装饰控制器。我观察到的是，如果我使用web.config或其他方式在应用程序中正确实现身份验证机制，那么我现在就无法访问特定操作方法的URL{controller}/{action}/{id} 系统总是要求登录。这意味着我的控制器是安全的。我
[Authorize][Authorize][Authorize]{controller}/{action}/{id}系统总是要求登录。这意味着我的控制器是安全的。我的问题是，当我可以在不使用
[Authorize] [Authorize(Users = "Betty, Johnny")]
public ActionResult SpecificUserOnly()
{
return View();
}
[Authorize(Roles = "Admin, Super User")]
public ActionResult AdministratorsOnly()
{
return View();
}
它的存在是因为它使用起来更方便，而且使用属性来标记授权参数而不是xml配置是一种完全不同的思想。这并不是为了打败通用配置或任何其他授权框架，只是MVC的方式。我这么说是因为你似乎在寻找一种技术特性的优势，而这种优势可能不是。。。非常方便
博布罗克已经列出了优势。为了补充他的答案，另一个场景是，您可以将此属性应用于整个控制器，而不仅仅是操作，还可以将不同的角色授权参数添加到同一控制器中的不同操作以进行混合和匹配 使用
Authorize另一个是可扩展性。
Authorize另外，我发现Web.config中的授权信息污染了它，使查找内容变得更加困难。因此，在某些方面它是首选的，而在其他方面则没有其他方法可以做到这一点。使用
[Authorize]请阅读此处的更多信息：web.config中的标记基于路径，而MVC使用控制器操作和路由 如果您只是想阻止未登录的用户，那么这是一个架构决策，可能不会有太大的区别，但当您尝试在角色中应用基于授权的权限时，以及在您希望自定义未授权类型处理的情况下，这一决策会有很大的区别 博布罗克的回答涵盖了第一个案例 用户应至少具有以下角色之一才能访问控制器或操作
[Authorize(Roles = "Admin, Super User")]
[Authorize(Roles = "Super User")]
[Authorize(Roles = "Admin")]
[Authorize(Users = "Betty, Johnny")]
[Authorize]options.AddPolicy("ElevatedRights", policy =>
policy.RequireRole("Administrator", "PowerUser", "BackupAdministrator"));
[Authorize(Policy = "ElevatedRights")]
public class CustomAuthorizeAttribute: AuthorizeAttribute
{
public override void OnAuthorization(AuthorizationContext filterContext)
{ }
}
ASP.NET MVC中执行授权的“正确完成的”方法是使用
[Authorize]