ClaimsAuthorizationManager.CheckAccess(AuthorizationContext) 方法
定义
重要
一些信息与预发行产品相关,相应产品在发行之前可能会进行重大修改。 对于此处提供的信息,Microsoft 不作任何明示或暗示的担保。
在派生类中实现时,检查对指定上下文中的主题的授权,以在指定资源上执行指定操作。
public:
virtual bool CheckAccess(System::Security::Claims::AuthorizationContext ^ context);
public virtual bool CheckAccess (System.Security.Claims.AuthorizationContext context);
abstract member CheckAccess : System.Security.Claims.AuthorizationContext -> bool
override this.CheckAccess : System.Security.Claims.AuthorizationContext -> bool
Public Overridable Function CheckAccess (context As AuthorizationContext) As Boolean
参数
- context
- AuthorizationContext
包含要为其检查身份授权的主题、资源和操作。
返回
如果授权该主题在指定的资源上执行指定操作,则为 true
;否则为 false
。
示例
主题中使用的 ClaimsAuthorizationManager 代码示例取自示例 Claims Based Authorization
。 此示例提供一个自定义声明授权管理器,该管理器可以根据配置中指定的策略对使用者进行授权。 自定义声明授权管理器由三个基本组件组成:一个派生自 ClaimsAuthorizationManager 实现管理器的类、 ResourceAction
配对资源和操作的类,以及读取和编译配置文件中指定的策略读取器。 然后,声明授权管理器可以使用此编译的策略来评估主体,以便授权访问资源。 并非所有元素都是为了简洁起见而显示的。 有关此示例和其他可用于 WIF 的示例以及下载它们的位置的信息,请参阅 WIF 代码示例索引。
以下代码显示了方法的 CheckAccess 重写。 此方法根据从配置文件读取和编译的策略授予或拒绝访问权限。
static Dictionary<ResourceAction, Func<ClaimsPrincipal, bool>> _policies = new Dictionary<ResourceAction, Func<ClaimsPrincipal, bool>>();
PolicyReader _policyReader = new PolicyReader();
/// <summary>
/// Checks if the principal specified in the authorization context is authorized to perform action specified in the authorization context
/// on the specified resoure
/// </summary>
/// <param name="pec">Authorization context</param>
/// <returns>true if authorized, false otherwise</returns>
public override bool CheckAccess(AuthorizationContext pec)
{
//
// Evaluate the policy against the claims of the
// principal to determine access
//
bool access = false;
try
{
ResourceAction ra = new ResourceAction(pec.Resource.First<Claim>().Value, pec.Action.First<Claim>().Value);
access = _policies[ra](pec.Principal);
}
catch (Exception)
{
access = false;
}
return access;
}
}
以下代码显示了 ResourceAction
自定义声明管理器使用的类。
using System;
namespace ClaimsAuthorizationLibrary
{
/// <summary>
/// Class to encapsulate resource/action pair
/// </summary>
public class ResourceAction
{
public string Resource;
public string Action;
/// <summary>
/// Checks if the current instance is equal to the given object by comparing the resource and action values
/// </summary>
/// <param name="obj">object to compare to</param>
/// <returns>True if equal, else false.</returns>
public override bool Equals(object obj)
{
ResourceAction ra = obj as ResourceAction;
if (ra != null)
{
return ((string.Compare(ra.Resource, Resource, true) == 0) && (string.Compare(ra.Action, Action, true) == 0));
}
return base.Equals(obj);
}
/// <summary>
/// Gets the hash code.
/// </summary>
/// <returns>The hash code.</returns>
public override int GetHashCode()
{
return (Resource + Action).ToLower().GetHashCode();
}
/// <summary>
/// Creates an instance of ResourceAction class.
/// </summary>
/// <param name="resource">The resource name.</param>
/// <param name="action">The action.</param>
/// <exception cref="ArgumentNullException">when <paramref name="resource"/> is null</exception>
public ResourceAction(string resource, string action)
{
if (string.IsNullOrEmpty(resource))
{
throw new ArgumentNullException("resource");
}
Resource = resource;
Action = action;
}
}
}
声明授权管理器使用的策略是由 claimsAuthorizationManager> 元素下的<自定义<policy>
元素指定的。 此方法读取和编译 LoadCustomConfiguration 此策略。 在第一个策略中,主体必须拥有指定声明之一,才能对指定资源执行指定的操作。 在第二个策略中,主体必须拥有这两个声明才能对指定资源执行指定的操作。 在所有其他情况下,无论主体拥有的声明如何,主体都会自动授予访问权限。
<system.identityModel>
<identityConfiguration>
<claimsAuthorizationManager type="ClaimsAuthorizationLibrary.MyClaimsAuthorizationManager, ClaimsAuthorizationLibrary">
<policy resource="http://localhost:28491/Developers.aspx" action="GET">
<or>
<claim claimType="http://schemas.microsoft.com/ws/2008/06/identity/claims/role" claimValue="developer" />
<claim claimType="http://schemas.xmlsoap.org/claims/Group" claimValue="Administrator" />
</or>
</policy>
<policy resource="http://localhost:28491/Administrators.aspx" action="GET">
<and>
<claim claimType="http://schemas.xmlsoap.org/claims/Group" claimValue="Administrator" />
<claim claimType="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/country" claimValue="USA" />
</and>
</policy>
<policy resource="http://localhost:28491/Default.aspx" action="GET">
</policy>
<policy resource="http://localhost:28491/" action="GET">
</policy>
<policy resource="http://localhost:28491/Claims.aspx" action="GET">
</policy>
</claimsAuthorizationManager>
...
</identityConfiguration>
</system.identityModel>
注解
基本实现始终返回 true
,它授权访问。 可以在派生类中重写此方法,以根据 RP 应用程序的要求授权访问。 如果此方法返回false
,Windows Identity Foundation (WIF) 向调用方返回未经授权的错误;否则,执行将传递给 RP 应用程序。