Вот моя версия, основанная на ответах @CalebHC и @Lee Harold.
Я следовал стилю использования именованных параметров в атрибуте и переопределял свойство базовых классов Roles.
@ В ответе CalebHC используется новое свойство Is, которое, на мой взгляд, не нужно, поскольку AuthorizeCore() переопределяется (который в базовом классе использует роли), поэтому имеет смысл использовать и нашу собственную Roles. Используя наш собственный Roles, мы получаем Roles = Roles.Admin на контроллере, который следует стилю других атрибутов .Net.
Я использовал два конструктора для CustomAuthorizeAttribute, чтобы показать реальные имена групп активных каталогов, которые передаются. В производстве я использую параметризованный конструктор, чтобы избежать магических строк в классе: имена групп извлекаются из web.config во время Application_Start() и передал создание с помощью инструмента DI.
Вам понадобится NotAuthorized.cshtml или аналогичный файл в папке Views\Shared, иначе неавторизованные пользователи получат экран ошибки.
Вот код для базового класса AuthorizationAttribute.cs .
Контроллер:
public ActionResult Index()
{
return this.View();
}
[CustomAuthorize(Roles = Roles.Admin)]
public ActionResult About()
{
return this.View();
}
CustomAuthorizeAttribute:
// The left bit shifting gives the values 1, 2, 4, 8, 16 and so on.
[Flags]
public enum Roles
{
Admin = 1,
User = 1 << 1
}
[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
public class CustomAuthorizeAttribute : AuthorizeAttribute
{
private readonly string adminGroupName;
private readonly string userGroupName;
public CustomAuthorizeAttribute() : this("Domain Admins", "Domain Users")
{
}
private CustomAuthorizeAttribute(string adminGroupName, string userGroupName)
{
this.adminGroupName = adminGroupName;
this.userGroupName = userGroupName;
}
/// <summary>
/// Gets or sets the allowed roles.
/// </summary>
public new Roles Roles { get; set; }
/// <summary>
/// Checks to see if the user is authenticated and has the
/// correct role to access a particular view.
/// </summary>
/// <param name="httpContext">The HTTP context.</param>
/// <returns>[True] if the user is authenticated and has the correct role</returns>
/// <remarks>
/// This method must be thread-safe since it is called by the thread-safe OnCacheAuthorization() method.
/// </remarks>
protected override bool AuthorizeCore(HttpContextBase httpContext)
{
if (httpContext == null)
{
throw new ArgumentNullException("httpContext");
}
if (!httpContext.User.Identity.IsAuthenticated)
{
return false;
}
var usersRoles = this.GetUsersRoles(httpContext.User);
return this.Roles == 0 || usersRoles.Any(role => (this.Roles & role) == role);
}
protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
{
if (filterContext == null)
{
throw new ArgumentNullException("filterContext");
}
filterContext.Result = new ViewResult { ViewName = "NotAuthorized" };
}
private IEnumerable<Roles> GetUsersRoles(IPrincipal principal)
{
var roles = new List<Roles>();
if (principal.IsInRole(this.adminGroupName))
{
roles.Add(Roles.Admin);
}
if (principal.IsInRole(this.userGroupName))
{
roles.Add(Roles.User);
}
return roles;
}
}