ASP.NET MVC授权过滤器用法

2024-07-31 15:17:22

过滤器

过滤器(Filter)的出现使得我们可以在ASP.NET MVC程序里更好的控制浏览器请求过来的URL，并不是每个请求都会响应内容，只有那些有特定权限的用户才能响应特定的内容。过滤器理论上有以下功能：

判断登录与否或者用户权限。
决策输出缓存。
防盗链。
防蜘蛛。
本地化与国际化设置。
实现动态Action（做权限管理系统经常用到）。

1、使用方式一

第一种方法是在Controller或Action上面直接使用Authorize特性，不设置特性的任何属性。看下面的截图：

从上面的截图中可以看出：第一个名为Index的Action方法是没有过滤的，任何身份的请求都可以通过。只需要在浏览器的URL地址栏里面输入：http://localhost:**/Admin/Index就能得到对应的视图响应，效果如下：

而第二个名为Welcome的Action方法上面使用了Authorize特性，表示这是一个只处理那些通过身份验证的URL的请求，页面请求效果如下：

这时可以看到报错了：提示只有通过身份验证的用户才能访问请求所需的资源。

这种报错页面很不友好，一般这种情况都是跳转到登录页面让用户进行登录，所以对程序进行如下的改造。

1.1、添加登录页面

新建Account控制器，并新建两个Action方法，代码如下：

using MVCAuthorizeFilterDemo.Models;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;
using System.Web.Security;

namespace MVCAuthorizeFilterDemo.Controllers
{
    public class AccountController : Controller
    {
        // GET: Account
        public ActionResult Index()
        {
            return View();
        }

        /// <summary>
        /// 显示登录视图
        /// </summary>
        /// <returns></returns>
        public ActionResult LogOn()
        {
            LogOnViewModel model = new LogOnViewModel();
            return View(model);

        }

        /// <summary>
        /// 处理用户点击登录提交回发的表单
        /// </summary>
        /// <param name="model"></param>
        /// <returns></returns>
        [HttpPost]
        public ActionResult LogOn(LogOnViewModel model)
        {
            //只要输入的用户名和密码一样就过
            if (model.UserName.Trim() == model.Password.Trim())
            {
                // 判断是否勾选了记住我
                if (model.RememberMe)
                {
                    //2880分钟有效期的cookie
                    FormsAuthentication.SetAuthCookie(model.UserName, true);
                }
                else
                {
                    //会话cookie
                    FormsAuthentication.SetAuthCookie(model.UserName, false);
                }
                // 跳转到Account控制器的Welcome方法
                return RedirectToAction("Welcome", "Admin");
            }
            else
            {
                return View(model);
            }

        }
    }
}

LogOnViewModel是用户登录实体类，定义如下：

using System;
using System.Collections.Generic;
using System.ComponentModel;
using System.Linq;
using System.Web;

namespace MVCAuthorizeFilterDemo.Models
{
    // <summary>
    /// 用户登录实体类
    /// </summary>
    public class LogOnViewModel
    {
        /// <summary>
        /// 用户名
        /// </summary>
        [DisplayName("用户名")]
        public string UserName { get; set; }

        /// <summary>
        /// 密码
        /// </summary>
        [DisplayName("密码")]
        public string Password { get; set; }

        /// <summary>
        /// 记住我
        /// </summary>
        [DisplayName("记住我")]
        public bool RememberMe { get; set; }

    }
}

LogOn视图页代码如下：

@model MVCAuthorizeFilterDemo.Models.LogOnViewModel
@{
    Layout = null;
}

<!DOCTYPE html>

<html>
<head>
    <meta name="viewport" content="width=device-width" />
    <title>LogOn</title>
</head>
<body>
    @using (Html.BeginForm())
    {
        @Html.AntiForgeryToken()

        <div class="form-horizontal">
            <h4>登录</h4>
            <hr />
            @Html.ValidationSummary(true)

            <div class="form-group">
                @Html.LabelFor(model => model.UserName, new { @class = "control-label col-md-2" })
                <div class="col-md-10">
                    @Html.EditorFor(model => model.UserName)
                    @Html.ValidationMessageFor(model => model.UserName)
                </div>
            </div>

            <div class="form-group">
                @Html.LabelFor(model => model.Password, new { @class = "control-label col-md-2" })
                <div class="col-md-10">
                    @Html.EditorFor(model => model.Password)
                    @Html.ValidationMessageFor(model => model.Password)
                </div>
            </div>

            <div class="form-group">
                @Html.LabelFor(model => model.RememberMe, new { @class = "control-label col-md-2" })
                <div class="col-md-10">
                    @Html.EditorFor(model => model.RememberMe)
                    @Html.ValidationMessageFor(model => model.RememberMe)
                </div>
            </div>

            <div class="form-group">
                <div class="col-md-offset-2 col-md-10">
                    <input type="submit" value="登录" class="btn btn-default" />
                </div>
            </div>
        </div>
    }
</body>
</html>

1.2、修改配置文件

在上面的案例中，如果权限认证没有通过会显示错误页面，这种情况下要跳转到登录页面让用户进行登录，所以要再配置文件里面配置登录页面，如果没有通过身份认证就会跳转到配置文件里面配置的登录页面，配置文件代码如下：

<!--配置登录页面-->
<authentication mode="Forms">
   <forms loginUrl="~/Account/LogOn" timeout="2880" />
</authentication>

1.3、测试

改造完以后重新生成，在URL地址栏里面输入：http://localhost:39175/Admin/Index，页面显示效果如下：

在访问Welcome方法，输入：http://localhost:39175/Admin/Welcome，页面显示效果如下：

从上图中可以看出虽然访问的是Welcome这个Action，但是并没有直接返回相应的视图，而是被带到了登录页面，这是因为Welcome这个Action上面使用了Authorize特性，拒绝了所有未登录用户的访问。

上面既然拒绝了未验证用户的访问，那么就登录下通过验证。看上面LogOn里面的代码就知道，只要输入的用户名和密码相同就可以登录，都输入“admin”，这时页面显示如下：

截图表明已经通过验证并且得到了Welcome这个Action的相应。按F12打开控制台，会发现这时多了一个名为“.ASPXAUTH”的Cookie，这个是默认名称，在配置文件里面可以修改。如果登录的时候勾选了记住我，那么此Cookie的过期时间就是在配置文件里面定义的2880分钟。

2、使用方式二

权限过滤器的第二种用法：基于用户授权和基于角色授权。

基于角色授权就是给Authorize特性的Roles属性赋值，多个角色可以使用逗号分隔。基于用户授权就是给Authorize特性的Users属性赋值，如果是多个用户也可以使用逗号分隔。验证不通过时也可以通过web.config进行配置。

继续基于上面的案例进行改造，只允许登录名为“a”、“b”的两个用户可以访问Welcome方法，改造后的代码如下：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;

namespace MVCAuthorizeFilterDemo.Controllers
{
    public class AdminController : Controller
    {
        // GET: Admin
        public ActionResult Index()
        {
            return View();
        }

        /// <summary>
        /// 使用方式一：直接使用Authorize特性，特性不添加任何属性
        /// </summary>
        /// <returns></returns>
        //[Authorize]
        //public ActionResult Welcome()
        //{
        //    return View();
        //}

        /// <summary>
        /// 使用方式二：使用Authorize特性，添加Users属性，只能a、b登录用户才可以访问
        /// </summary>
        /// <returns></returns>
        [Authorize(Users ="a,b")]
        public ActionResult Welcome()
        {
            return View();
        }
    }
}

再次访问http://localhost:39175/Admin/Welcome，然后用admin登录，这时会发现页面不会跳转到Welcome方法对应的页面，还是显示登录页。如果换成a或者b登录就会显示Welcome对应的页面了，这说明设置的Users属性起作用了。

到此这篇关于ASP.NET MVC授权过滤器用法的文章就介绍到这了。希望对大家的学习有所帮助，也希望大家多多支持我们。

.NET6自定义WebAPI过滤器

1.上代码 /// <summary> /// API白名单过滤器 /// </summary> public class APIFilter : ActionFilterAttribute { /// <summary> /// 控制器中加了该属性的方法中代码执行之前该方法. /// 所以可以用做权限校验. /// </summary> /// <param name="context"></param> pub
ASP.NET MVC自定义异常过滤器

一.异常过滤器异常筛选器用于实现IExceptionFilter接口,并在ASP.NET MVC管道执行期间引发了未处理的异常时执行.异常筛选器可用于执行诸如日志记录或显示错误页之类的任务.HandleErrorAttribute类是异常筛选器的一个示例. 先来看看HandleErrorAttribute类的定义: #region 程序集 System.Web.Mvc, Version=5.2.7.0, Culture=neutral, PublicKeyToken=31bf3856ad364
ASP.NET Core MVC 过滤器(Filter)

目录一.过滤器如何工作 1.选择过滤器 2.实现过滤器 3.过滤器作用域 4.取消和短路二.配置过滤器 1.依赖注入 2.排序 3.对比中间件一.过滤器如何工作不同的过滤器类型在管道中的不同阶段执行,因此具有各自的与其场景.根据需要执行的任务以及需要执行的请求管道中的位置,选择要创建的过滤器类型.过滤器在 MVC 操作调用管道中运行,有时也称为过滤管道,在 MVC 中选择要执行的操作后,执行操作上的过滤器,如图: 不同的过滤器在管道内的不同位置执行.像授权过滤器这样的过滤器只在管道中靠前
ASP.NET Core MVC 过滤器的使用方法介绍

过滤器的作用是在 Action 方法执行前或执行后做一些加工处理.使用过滤器可以避免Action方法的重复代码,例如,您可以使用异常过滤器合并异常处理的代码. 过滤器如何工作? 过滤器在 MVC Action 调用管道中运行,有时称为过滤器管道.MVC选择要执行的Action方法后,才会执行过滤器管道: 实现过滤器同时支持同步和异步两种不同的接口定义.您可以根据执行的任务类型,选择同步或异步实现. 同步过滤器定义OnStageExecuting和OnStageExecuted方法,会在管道特定
ASP.NET MVC自定义异常过滤器使用案例

目录一.需求二.案例 1.创建工具类 1.1.创建日志工具类 1.2.创建网络工具类 2.创建自定义异常类 3.创建控制器 4.测试在上一篇文章中讲解了自定义异常过滤器,这篇文章会结合工作中的真实案例讲解一下如何使用自定义异常过滤器. 一.需求本案例要实现的功能需求:在发生异常时记录日志,日志内容包括发生异常的Controller名称.Action名称.使用浏览器类型和版本等. 二.案例 1.创建工具类首先创建项目中需要使用的工具类. 1.1.创建日志工具类在案例中使用Log4net
ASP.NET MVC过滤器执行顺序介绍

如果某个Action过滤器运用了多种过滤器,那么过滤器的执行顺序是如何呢? 规则一:不同类型的过滤器有一个先后顺序即执行顺序是:授权过滤器->动作过滤器->结果过滤器->异常过滤器. 注意:如果ActionFilter过滤器执行过程中发生了异常,那么会执行ExceptionFilter过滤器,不会执行ResultFilter过滤器.上图所示的是正常情况下的执行顺序. 规则二:控制器上面的过滤器优先于方法上面的过滤器即控制器和方法上面都使用了相同的过滤器,那么先执行控制器上面的过滤器.
ASP.NET MVC异常过滤器用法

我们平常在程序里面为了捕获异常,会加上try-catch-finally代码,但是这样会使得程序代码看起来很庞大,在MVC中我们可以使用异常过滤器来捕获程序中的异常,如下图所示: 使用了异常过滤器以后,我们就不需要在Action方法里面写Try -Catch-Finally这样的异常处理代码了,而把这份工作交给HandleError去做,这个特性同样可以应用到Controller上面,也可以应用到Action方面上面. 注意: 使用异常过滤器的时候,customErrors配置节属性mode的值
ASP.NET MVC自定义操作过滤器

目录一.操作过滤器 1.定义 2.案例 2.1.创建自定义操作过滤器 2.2.新建控制器二.结果过滤器 1.定义 2.案例三.案例 1.记录操作 1.1.创建实体类 1.2.创建日志类 1.3.修改操作过滤器类 2.实现权限控制功能一.操作过滤器 1.定义操作过滤器用于实现IActionFilter接口以及包装操作方法执行.IActionFilter接口声明两个方法:OnActionExecuting和OnActionExecuted.OnActionExecuting在操作方法之前运
ASP.NET MVC缓存过滤器用法

缓存过滤器用来输出页面缓存,其用法如下图所示: 注意: Duration:表示缓存多少秒;VaryByParam:表示缓存是否随地址参数而改变.OutputCache除了可以定义在Action方法上面以外,还可以定义在控制器上面. 演示示例: 新建一个MVC应用程序,添加一个名为Cache的控制器,Cache控制器的Index方法里面将当前时间输出到页面中,Cache控制器定义如下: using System; using System.Collections.Generic; using Sy
ASP.NET Core MVC中过滤器工作原理介绍

过滤器的作用是在 Action 方法执行前或执行后做一些加工处理.使用过滤器可以避免Action方法的重复代码,例如,您可以使用异常过滤器合并异常处理的代码. 过滤器如何工作? 过滤器在 MVC Action 调用管道中运行,有时称为过滤器管道.MVC选择要执行的Action方法后,才会执行过滤器管道: 实现过滤器同时支持同步和异步两种不同的接口定义.您可以根据执行的任务类型,选择同步或异步实现. 同步过滤器定义OnStageExecuting和OnStageExecuted方法,会在管道特定
ASP.NET MVC自定义授权过滤器

目录一.授权过滤器二.示例 1.添加对应实体类 2.添加测试数据 3.新建继承类 4.添加Account控制器 5.修改配置文件 6.添加授权控制器三.测试测试Welcome 四.总结一.授权过滤器授权过滤器用于实现IAuthorizationFilter接口和做出关于是否执行操作方法(如执行身份验证或验证请求的属性)的安全策略.AuthorizeAttribute类继承了IAuthorizationFilter接口,是授权过滤器的示例.授权过滤器在任何其他过滤器之前运行. 如果要自