Версія заявок MVC5 атрибута Authorize

Я випробовую деякі новинки у VS2013 RC за допомогою MVC5 та нового проміжного програмного забезпечення для автентифікації OWIN.

Отже, я звик використовувати [Authorize]атрибут для обмеження дій за роллю, але я намагаюся використовувати авторизацію на основі претензій / діяльності, і я не можу знайти для нього еквівалентний атрибут.

Чи є очевидний, якого мені бракує, чи мені потрібно прокрутити своє? Я напевно очікував, що там буде один із коробки.

Що я конкретно шукаю, це щось на зразок того, що [Authorize("ClaimType","ClaimValue")]я припускаю.

Заздалегідь спасибі.

У підсумку я просто написав простий атрибут для обробки. Я не міг знайти щось у фреймворку прямо з коробки без купу додаткових налаштувань. Перечислені нижче.

public class ClaimsAuthorizeAttribute : AuthorizeAttribute
{
    private string claimType;
    private string claimValue;
    public ClaimsAuthorizeAttribute(string type, string value)
    {
        this.claimType = type;
        this.claimValue = value;
    }
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        var user = filterContext.HttpContext.User as ClaimsPrincipal;
        if (user != null && user.HasClaim(claimType, claimValue))
        {
            base.OnAuthorization(filterContext);
        }
        else
        {
            base.HandleUnauthorizedRequest(filterContext);
        }
    }
}

Звичайно, ви могли б видалити параметри типу та значення, якщо б вам було приємно якось використовувати триплет controller-action-verb для претензій.

1. Ви не будете перевіряти конкретно претензії, а скоріше, пара дій / ресурсів. Виділіть фактичні перевірки заявок / даних у менеджер авторизації. Поділ проблем.
2. MVC і ClaimsPrincipalPermission не дуже добре поєднуються. Він створює SecurityException і не є дружнім для тестування.

Моя версія тут: http://leastprivilege.com/2012/10/26/using-claims-based-authorization-in-mvc-and-web-api/

Я виявив, що ви все ще можете використовувати атрибут Authorization з ролями та користувачами, із заявами.
Щоб це працювало, ваша ClaimsIdentity повинна включати 2 конкретні типи претензій:

    ClaimTypes.Name

і

    ClaimTypes.Role

Потім у своєму класі, похідному від OAuthAuthorizationServerProvider, у використовуваних вами методах GrantXX, коли ви створюєте ClaimsIdentity, додайте ці 2 твердження.

Приклад:

    var oAuthIdentity = new ClaimsIdentity(new[]
    {
        new Claim(ClaimTypes.Name, context.ClientId),
        new Claim(ClaimTypes.Role, "Admin"),
    }, OAuthDefaults.AuthenticationType);

Тоді на будь-яку дію, яку ви можете використовувати [Authorize(Roles ="Admin")]для обмеження доступу.

В ASP.NET Core 3 ви можете налаштувати такі політики безпеки:

public void ConfigureServices(IServiceCollection services)
{
    services.AddMvc();

    services.AddAuthorization(options =>
    {
        options.AddPolicy("EmployeeOnly", policy => policy.RequireClaim("EmployeeNumber"));
    });
}

потім використовуйте AuthorizeAttribute, щоб вимагати, щоб користувач відповідав вимогам певної політики (іншими словами, задовольнити претензію, що підтримує цю політику).

[Authorize(Policy = "EmployeeOnly")]
public IActionResult VacationBalance()
{
    return View();
}

Джерело .

[ClaimsPrincipalPermission(SecurityAction.Demand, Operation="Delete", Resource="Customer")]
public ActionResult Delete(int id)
{
    _customer.Delete(id);
    return RedirectToAction("CustomerList");
}

Клас ClaimsPrincipalPermissionAttribute