Пользовательская авторизация (разрешения) ASP.NET MVC

В основном вам нужно создать свой собственный AuthorizeAttribute, но использовать IIdentity из .NET. То, что вы описали здесь, представляет собой систему аутентификации и авторизации на основе утверждений.

Скорее всего, вам придется отказаться от членства в ASP.NET или использовать только его часть. Насколько я знаю, он построен не с расчетом на претензии.

В .NET 4.5 ребята добавили класс ClaimsPrincipal, реализующий интерфейс IPrincipal. Этот класс можно использовать для реализации пользовательской проверки подлинности и авторизации на основе утверждений.

Итак, когда пользователь аутентифицирован, вы можете добавить утверждения в поток:

var id = new ClaimsIdentity(claims, "Dummy");
var principal = new ClaimsPrincipal(new[] { id });
Thread.CurrentPrincipal = principal;

а затем просто используйте утверждения, которые вы найдете в Thread.CurrentPrincipal.

В ASP.NET MVC вы можете выполнить следующие шаги:

1. создайте обработчик делегирования, который аутентифицирует пользователя. Если пользователь аутентифицирован, утверждения добавляются к участнику потока. В идеале этот делегирующий обработчик должен находиться как можно выше по цепочке, чтобы утверждения были доступны повсюду в цепочке выполнения. Также не забудьте установить HttpContext.Current.User с тем же принципалом

   открытый класс AuthHandler: DelegatingHandler{

   protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
   {
   //authenticate user
   //get claims
   //create principal
   var newPrincipal = CreatePrincipal(claims);
   Thread.CurrentPrincipal = newPrincipal;
   if (HttpContext.Current != null)
        HttpContext.Current.User = newPrincipal;
   return await base.SendAsync(request, cancellationToken);
   }
   

   }

2. Создайте фильтр, который авторизуется на основе утверждений, добавленных к участнику потока. Здесь вы можете сделать что-то вроде сравнения текущего маршрута с информацией, найденной в заявках.

Итак, я думаю, что вы говорите: ActionA доступен, только если у пользователя есть perm1, perm2, и аналогично ActionB доступен, когда у пользователя есть perm1 и perm3.

Код, который я дал для иллюстрации, я его не компилировал. Но дам вам представление о подходе, который я излагаю

ШАГ 1. Вы можете приступить к созданию перечисления разрешений с атрибутом Flags.

ШАГ 2. Добавьте утверждения к текущему участнику на основе разрешения пользователя, хранящегося в вашем хранилище данных.

ШАГ 3. При вызове Action разрешите доступ к претензиям

[Flags]
    enum PermType
    {
        None = 0x0,
        Perm1 = 0x1,
        perm2 = 0x2,
        perm3 = 0x4,
        perm4 = 0x8,
        perm5 = 0x10 
    }

Добавление утверждений в CurrentPrincipal

var currentPrincipal = ClaimsPrincipal.Current;
var cms = currentPrincipal.Claims;
var permissions = PermType.Perm1 | PermType.perm2;
var claims = cms.ToList();
claims.Add(new Claim("Action1", permissions.ToString()));
claims.Add(new Claim("Action2", permissions.ToString()));
claims.Add(new Claim("Action3", permissions.ToString()));
System.Threading.Thread.CurrentPrincipal = new ClaimsPrincipal(new ClaimsIdentity(claims));

проверить, может ли пользователь получить доступ к определенному действию

public bool CanAccessThisAction(string acionName,PermType requiredPerms)
{
    var claim = principal.Claims.FirstOrDefault(c => c.Type == acionName);
    if (customPermissionClaim != null)
    {
        //check if required permission is present in claims for this user
        //return true/false
    }
    return false;
}

в действии

public ActionResult TestAction(string id)
{
    if(CanAccessThisAction("TestAction",PermType.Perm1|PermType.perm3|PermType.perm5))
    {
        //do your work here
    }
    else
    {
        //redirect user to some other page which says user is not authorized
    }
}