建立一個包含授權保護使用者資料的 ASP.NET Core 網頁應用程式

作者：Rick Anderson 與 Joe Audette

本教學示範如何建立一個包含授權保護使用者資料的 ASP.NET Core 網頁應用程式。 它會顯示由已認證（註冊）使用者建立的聯絡人清單。 該應用程式支援三個安全群組：

• 註冊用戶 可查看所有 已核准 資料，並可編輯/刪除自己的資料。
• 管理員可以核准或拒絕連絡人資料。 只有標 示為已核准 的聯絡人才會被使用者看到。
• 系統管理員可以核准/拒絕以及編輯/刪除任何資料。

Note

這篇文章中的圖片與最新的範本並不完全一致。

在下一張圖片中，使用者 rick@contoso.com 已登入網頁應用程式。 此使用者只能查看已核准的聯絡人，以及聯絡人的編輯/、刪除/和新增連結。 在此檢視中，只有該使用者建立的最後紀錄會顯示 編輯 與 刪除 連結。 在經理或管理員核准該紀錄之前，其他使用者看不到最後一筆紀錄。

在下一張圖片中， manager@contoso.com 使用者已登入並可存取管理功能：

管理員可以選擇聯絡人以查看該使用者的詳細資訊，如下圖所示：

批准與拒絕選項僅顯示給經理和管理員使用。

在以下圖片中， admin@contoso.com 使用者已登入並可存取管理功能：

管理員擁有所有特權。 他們可以閱讀、編輯或刪除任何聯絡人，並更改聯絡人狀態。

應用程式是透過 scaffolding 下列 Contact 模型所產生：

public class Contact
{
    public int ContactId { get; set; }
    public string Name { get; set; }
    public string Address { get; set; }
    public string City { get; set; }
    public string State { get; set; }
    public string Zip { get; set; }
    [DataType(DataType.EmailAddress)]
    public string Email { get; set; }
}

此範例包含下列授權處理常式：

• ContactIsOwnerAuthorizationHandler：確保使用者只能編輯其資料。
• ContactManagerAuthorizationHandler：允許管理員核准或拒絕連絡人。
• ContactAdministratorsAuthorizationHandler：允許系統管理員核准或拒絕連絡人，以及編輯/刪除連絡人。

Prerequisites

此為進階教學課程。 您應熟悉：

• ASP.NET 核心
• 認證與 ASP.NET Core Identity
• 帳號確認與密碼恢復
• 授權
• Entity Framework Core

入門和已完成的應用程式

下載已完成的 應用程式。 測試已完成的應用程式，讓您熟悉其安全性功能。

Tip

你可以用 git sparse-checkout 指令只下載範例子資料夾。

例如：

git clone --depth 1 --filter=blob:none https://github.com/dotnet/AspNetCore.Docs.git --sparse
cd AspNetCore.Docs
git sparse-checkout init --cone
git sparse-checkout set aspnetcore/security/authorization/secure-data/samples

入門應用程式

下載入門 應用程式。

執行應用程式、點選 ContactManager 連結，並確認您可以建立、編輯和刪除連絡人。 若要建立入門應用程式，請參閱建立入門應用程式。

保護使用者資料

以下章節將展示建立安全使用者資料應用程式的所有主要步驟。 你可能會覺得參考已完成的專案會有幫助。

將連絡人資料綁定到使用者

使用 ASP.NET Identity 使用者 ID，確保使用者可以編輯自己的資料，但不能編輯其他使用者的資料。 將 OwnerID 和 ContactStatus 欄位新增至 Contact 模型：

public class Contact
{
    public int ContactId { get; set; }

    // user ID from AspNetUser table.
    public string? OwnerID { get; set; }

    public string? Name { get; set; }
    public string? Address { get; set; }
    public string? City { get; set; }
    public string? State { get; set; }
    public string? Zip { get; set; }
    [DataType(DataType.EmailAddress)]
    public string? Email { get; set; }

    public ContactStatus Status { get; set; }
}

public enum ContactStatus
{
    Submitted,
    Approved,
    Rejected
}

OwnerID 是 AspNetUser 資料庫中 Identity 資料表的使用者識別碼。 Status 欄位會決定一般使用者是否可以檢視連絡人。

建立新的移轉並更新資料庫：

dotnet ef migrations add userID_Status
dotnet ef database update

將角色服務新增至 Identity

透過附加 AddRoles 方法，啟用應用程式使用角色服務：

var builder = WebApplication.CreateBuilder(args);

var connectionString = builder.Configuration.GetConnectionString("DefaultConnection");
builder.Services.AddDbContext<ApplicationDbContext>(options =>
    options.UseSqlServer(connectionString));
builder.Services.AddDatabaseDeveloperPageExceptionFilter();

builder.Services.AddDefaultIdentity<IdentityUser>(
    options => options.SignIn.RequireConfirmedAccount = true)
    .AddRoles<IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>();

要求已驗證的使用者

將後援授權原則設定為要求使用者進行驗證：

var builder = WebApplication.CreateBuilder(args);

var connectionString = builder.Configuration.GetConnectionString("DefaultConnection");
builder.Services.AddDbContext<ApplicationDbContext>(options =>
    options.UseSqlServer(connectionString));
builder.Services.AddDatabaseDeveloperPageExceptionFilter();

builder.Services.AddDefaultIdentity<IdentityUser>(
    options => options.SignIn.RequireConfirmedAccount = true)
    .AddRoles<IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>();

builder.Services.AddRazorPages();

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

前述標示的程式碼將備援授權政策設定為需要經過認證的使用者。 當授權中介軟體無法從授權元資料建立政策時，會選擇備援策略。 具有 [Authorize] 的端點會使用預設原則，而具有 [Authorize(Policy = "{POLICY NAME}")] 的端點會使用具名原則。 將 [AllowAnonymous] 套用至刻意設為公開的端點。

此 RequireAuthenticatedUser 方法將 DenyAnonymousAuthorizationRequirement 類別加入目前實例，強制目前使用者已認證。

備援授權政策適用於由授權中介軟體處理的要求；當無法從端點中繼資料產生授權政策時，即會套用此政策。 當請求與某端點不匹配時，也可能適用此機制。 中介軟體的順序決定授權中介軟體是否處理資源請求，例如 靜態檔案。

將備援授權原則設為要求使用者已通過驗證，可保護新新增的 Razor 頁面和控制器。 預設要求授權，會比依賴新的控制器和 Razor 頁面加入 [Authorize] 屬性更安全。

關於命名、預設及備援政策的比較，請參見 ASP.NET Core 中的基於政策的授權。

作為另一種方法，MVC 控制器與 Razor 分頁可新增授權過濾器，要求所有使用者皆須驗證：

using Microsoft.AspNetCore.Identity;
using Microsoft.EntityFrameworkCore;
using ContactManager.Data;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc.Authorization;

var builder = WebApplication.CreateBuilder(args);

var connectionString = builder.Configuration.GetConnectionString("DefaultConnection");
builder.Services.AddDbContext<ApplicationDbContext>(options =>
    options.UseSqlServer(connectionString));
builder.Services.AddDatabaseDeveloperPageExceptionFilter();

builder.Services.AddDefaultIdentity<IdentityUser>(
    options => options.SignIn.RequireConfirmedAccount = true)
    .AddRoles<IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>();

builder.Services.AddRazorPages();

builder.Services.AddControllers(config =>
{
    var policy = new AuthorizationPolicyBuilder()
                     .RequireAuthenticatedUser()
                     .Build();
    config.Filters.Add(new AuthorizeFilter(policy));
});

var app = builder.Build();

前述程式碼使用授權過濾器。 設定備援政策是要求所有使用者都必須驗證的首選方式。

在 和 頁面中加入 Index 屬性Privacy，讓匿名用戶在註冊前能取得網站資訊：

using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc.RazorPages;

namespace ContactManager.Pages;

[AllowAnonymous]
public class IndexModel : PageModel
{
    private readonly ILogger<IndexModel> _logger;

    public IndexModel(ILogger<IndexModel> logger)
    {
        _logger = logger;
    }

    public void OnGet()
    {

    }
}

設定測試帳戶

SeedData 類別會建立兩個帳戶：系統管理員和管理員。 使用祕密管理員工具來設定這些帳戶的密碼。 從專案目錄（包含 Program.cs 檔案的目錄）設定密碼：

dotnet user-secrets set SeedUserPW <PW>

若指定弱密碼，呼叫 SeedData.Initialize 該方法時會拋出例外。

更新應用程式以使用測試密碼：

var builder = WebApplication.CreateBuilder(args);

var connectionString = builder.Configuration.GetConnectionString("DefaultConnection");
builder.Services.AddDbContext<ApplicationDbContext>(options =>
    options.UseSqlServer(connectionString));
builder.Services.AddDatabaseDeveloperPageExceptionFilter();

builder.Services.AddDefaultIdentity<IdentityUser>(
    options => options.SignIn.RequireConfirmedAccount = true)
    .AddRoles<IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>();

builder.Services.AddRazorPages();

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

// Authorization handlers.
builder.Services.AddScoped<IAuthorizationHandler,
                      ContactIsOwnerAuthorizationHandler>();

builder.Services.AddSingleton<IAuthorizationHandler,
                      ContactAdministratorsAuthorizationHandler>();

builder.Services.AddSingleton<IAuthorizationHandler,
                      ContactManagerAuthorizationHandler>();

var app = builder.Build();

using (var scope = app.Services.CreateScope())
{
    var services = scope.ServiceProvider;
    var context = services.GetRequiredService<ApplicationDbContext>();
    context.Database.Migrate();
    // requires using Microsoft.Extensions.Configuration;
    // Set password with the Secret Manager tool.
    // dotnet user-secrets set SeedUserPW <pw>

    var testUserPw = builder.Configuration.GetValue<string>("SeedUserPW");

   await SeedData.Initialize(services, testUserPw);
}

建立測試帳戶並更新連絡人

透過更新 Initialize 類別中 SeedData 的方法來建立測試帳號：

public static async Task Initialize(IServiceProvider serviceProvider, string testUserPw)
{
    using (var context = new ApplicationDbContext(
        serviceProvider.GetRequiredService<DbContextOptions<ApplicationDbContext>>()))
    {
        // For sample purposes seed both with the same password.
        // Password is set with the following:
        // dotnet user-secrets set SeedUserPW <pw>
        // The admin user can do anything

        var adminID = await EnsureUser(serviceProvider, testUserPw, "admin@contoso.com");
        await EnsureRole(serviceProvider, adminID, Constants.ContactAdministratorsRole);

        // allowed user can create and edit contacts that they create
        var managerID = await EnsureUser(serviceProvider, testUserPw, "manager@contoso.com");
        await EnsureRole(serviceProvider, managerID, Constants.ContactManagersRole);

        SeedDB(context, adminID);
    }
}

private static async Task<string> EnsureUser(IServiceProvider serviceProvider,
                                            string testUserPw, string UserName)
{
    var userManager = serviceProvider.GetService<UserManager<IdentityUser>>();

    var user = await userManager.FindByNameAsync(UserName);
    if (user == null)
    {
        user = new IdentityUser
        {
            UserName = UserName,
            EmailConfirmed = true
        };
        await userManager.CreateAsync(user, testUserPw);
    }

    if (user == null)
    {
        throw new Exception("The password is probably not strong enough!");
    }

    return user.Id;
}

private static async Task<IdentityResult> EnsureRole(IServiceProvider serviceProvider,
                                                              string uid, string role)
{
    var roleManager = serviceProvider.GetService<RoleManager<IdentityRole>>();

    if (roleManager == null)
    {
        throw new Exception("roleManager null");
    }

    IdentityResult IR;
    if (!await roleManager.RoleExistsAsync(role))
    {
        IR = await roleManager.CreateAsync(new IdentityRole(role));
    }

    var userManager = serviceProvider.GetService<UserManager<IdentityUser>>();

    //if (userManager == null)
    //{
    //    throw new Exception("userManager is null");
    //}

    var user = await userManager.FindByIdAsync(uid);

    if (user == null)
    {
        throw new Exception("The testUserPw password was probably not strong enough!");
    }

    IR = await userManager.AddToRoleAsync(user, role);

    return IR;
}

把管理員使用者 ID 和欄位 ContactStatus 加入聯絡人。 標記其中一個聯絡人 為已提交 ，一個標記為 拒絕。 將使用者識別碼和狀態新增至所有連絡人。 只會顯示一個連絡人：

public static void SeedDB(ApplicationDbContext context, string adminID)
{
    if (context.Contact.Any())
    {
        return;   // DB has been seeded
    }

    context.Contact.AddRange(
        new Contact
        {
            Name = "Debra Garcia",
            Address = "1234 Main St",
            City = "Redmond",
            State = "WA",
            Zip = "10999",
            Email = "debra@example.com",
            Status = ContactStatus.Approved,
            OwnerID = adminID
        },

建立擁有者、管理員和系統管理員授權處理常式

在 ContactIsOwnerAuthorizationHandler 資料夾中建立 類別。 ContactIsOwnerAuthorizationHandler 會確認對資源採取行動的使用者是否擁有資源。

using ContactManager.Models;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Authorization.Infrastructure;
using Microsoft.AspNetCore.Identity;
using System.Threading.Tasks;

namespace ContactManager.Authorization
{
    public class ContactIsOwnerAuthorizationHandler
                : AuthorizationHandler<OperationAuthorizationRequirement, Contact>
    {
        UserManager<IdentityUser> _userManager;

        public ContactIsOwnerAuthorizationHandler(UserManager<IdentityUser> 
            userManager)
        {
            _userManager = userManager;
        }

        protected override Task
            HandleRequirementAsync(AuthorizationHandlerContext context,
                                   OperationAuthorizationRequirement requirement,
                                   Contact resource)
        {
            if (context.User == null || resource == null)
            {
                return Task.CompletedTask;
            }

            // If not asking for CRUD permission, return.

            if (requirement.Name != Constants.CreateOperationName &&
                requirement.Name != Constants.ReadOperationName   &&
                requirement.Name != Constants.UpdateOperationName &&
                requirement.Name != Constants.DeleteOperationName )
            {
                return Task.CompletedTask;
            }

            if (resource.OwnerID == _userManager.GetUserId(context.User))
            {
                context.Succeed(requirement);
            }

            return Task.CompletedTask;
        }
    }
}

如果目前已驗證的使用者是聯絡人的擁有者，ContactIsOwnerAuthorizationHandler 就會呼叫 context.Succeed 方法。

授權處理程序通常包括：

• 當符合要求時，會呼叫 context.Succeed 該方法。
• 當條件未達標時，它會返回 Task.CompletedTask。 當 Task.CompletedTask 在未事先呼叫 context.Succeed 或 context.Fail的情況下返回時，結果並非成功或失敗。 反之，它會讓其他授權處理常式繼續執行。

如果需要明確地判定為失敗，請呼叫 context.Fail 方法。

應用程式可讓連絡人擁有者編輯/刪除/建立自己的資料。 ContactIsOwnerAuthorizationHandler 不需要檢查在需求參數中傳遞的作業。

建立管理者授權處理程序

在 ContactManagerAuthorizationHandler 資料夾中建立 類別。 ContactManagerAuthorizationHandler 會確認對資源採取行動的使用者是管理員。 只有管理員可以核准或拒絕內容變更 (新增或變更)。

using System.Threading.Tasks;
using ContactManager.Models;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Authorization.Infrastructure;
using Microsoft.AspNetCore.Identity;

namespace ContactManager.Authorization
{
    public class ContactManagerAuthorizationHandler :
        AuthorizationHandler<OperationAuthorizationRequirement, Contact>
    {
        protected override Task
            HandleRequirementAsync(AuthorizationHandlerContext context,
                                   OperationAuthorizationRequirement requirement,
                                   Contact resource)
        {
            if (context.User == null || resource == null)
            {
                return Task.CompletedTask;
            }

            // If not asking for approval/reject, return.
            if (requirement.Name != Constants.ApproveOperationName &&
                requirement.Name != Constants.RejectOperationName)
            {
                return Task.CompletedTask;
            }

            // Managers can approve or reject.
            if (context.User.IsInRole(Constants.ContactManagersRole))
            {
                context.Succeed(requirement);
            }

            return Task.CompletedTask;
        }
    }
}

建立系統管理員授權處理常式

在 ContactAdministratorsAuthorizationHandler 資料夾中建立 類別。 ContactAdministratorsAuthorizationHandler 會確認對資源採取行動的使用者是系統管理員。 系統管理員可以執行所有作業。

using System.Threading.Tasks;
using ContactManager.Models;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Authorization.Infrastructure;

namespace ContactManager.Authorization
{
    public class ContactAdministratorsAuthorizationHandler
                    : AuthorizationHandler<OperationAuthorizationRequirement, Contact>
    {
        protected override Task HandleRequirementAsync(
                                              AuthorizationHandlerContext context,
                                    OperationAuthorizationRequirement requirement, 
                                     Contact resource)
        {
            if (context.User == null)
            {
                return Task.CompletedTask;
            }

            // Administrators can do anything.
            if (context.User.IsInRole(Constants.ContactAdministratorsRole))
            {
                context.Succeed(requirement);
            }

            return Task.CompletedTask;
        }
    }
}

註冊授權處理常式

使用 Entity Framework Core 的服務必須以 方法註冊 AddScoped。 ContactIsOwnerAuthorizationHandler 使用 ASP.NET Core Identity，該版本基於 Entity Framework Core。 向服務集合註冊處理常式，讓 ContactsController可透過 相依性插入 使用。 將下列程式碼新增至 ConfigureServices的最後：

var builder = WebApplication.CreateBuilder(args);

var connectionString = builder.Configuration.GetConnectionString("DefaultConnection");
builder.Services.AddDbContext<ApplicationDbContext>(options =>
    options.UseSqlServer(connectionString));
builder.Services.AddDatabaseDeveloperPageExceptionFilter();

builder.Services.AddDefaultIdentity<IdentityUser>(
    options => options.SignIn.RequireConfirmedAccount = true)
    .AddRoles<IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>();

builder.Services.AddRazorPages();

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

// Authorization handlers.
builder.Services.AddScoped<IAuthorizationHandler,
                      ContactIsOwnerAuthorizationHandler>();

builder.Services.AddSingleton<IAuthorizationHandler,
                      ContactAdministratorsAuthorizationHandler>();

builder.Services.AddSingleton<IAuthorizationHandler,
                      ContactManagerAuthorizationHandler>();

var app = builder.Build();

using (var scope = app.Services.CreateScope())
{
    var services = scope.ServiceProvider;
    var context = services.GetRequiredService<ApplicationDbContext>();
    context.Database.Migrate();
    // requires using Microsoft.Extensions.Configuration;
    // Set password with the Secret Manager tool.
    // dotnet user-secrets set SeedUserPW <pw>

    var testUserPw = builder.Configuration.GetValue<string>("SeedUserPW");

   await SeedData.Initialize(services, testUserPw);
}

ContactAdministratorsAuthorizationHandler 和 ContactManagerAuthorizationHandler 會作為單一例項新增。 它們是單例，因為他們不使用 Entity Framework，所有所需資訊都在 Context 方法 HandleRequirementAsync 的參數中。

支援授權

在本節中，您會更新 Razor Pages 並新增作業需求類別。

檢閱連絡人作業需求類別

檢閱 ContactOperations 類別。 此類別包含應用程式支援的需求：

using Microsoft.AspNetCore.Authorization.Infrastructure;

namespace ContactManager.Authorization
{
    public static class ContactOperations
    {
        public static OperationAuthorizationRequirement Create =   
          new OperationAuthorizationRequirement {Name=Constants.CreateOperationName};
        public static OperationAuthorizationRequirement Read = 
          new OperationAuthorizationRequirement {Name=Constants.ReadOperationName};  
        public static OperationAuthorizationRequirement Update = 
          new OperationAuthorizationRequirement {Name=Constants.UpdateOperationName}; 
        public static OperationAuthorizationRequirement Delete = 
          new OperationAuthorizationRequirement {Name=Constants.DeleteOperationName};
        public static OperationAuthorizationRequirement Approve = 
          new OperationAuthorizationRequirement {Name=Constants.ApproveOperationName};
        public static OperationAuthorizationRequirement Reject = 
          new OperationAuthorizationRequirement {Name=Constants.RejectOperationName};
    }

    public class Constants
    {
        public static readonly string CreateOperationName = "Create";
        public static readonly string ReadOperationName = "Read";
        public static readonly string UpdateOperationName = "Update";
        public static readonly string DeleteOperationName = "Delete";
        public static readonly string ApproveOperationName = "Approve";
        public static readonly string RejectOperationName = "Reject";

        public static readonly string ContactAdministratorsRole = 
                                                              "ContactAdministrators";
        public static readonly string ContactManagersRole = "ContactManagers";
    }
}

為聯絡人 Razor 頁面建立基底類別

建立基底類別，其中包含連絡人 Razor Pages 中使用的服務。 基底類別會將初始化程式碼放在單一位置：

using ContactManager.Data;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Identity;
using Microsoft.AspNetCore.Mvc.RazorPages;

namespace ContactManager.Pages.Contacts
{
    public class DI_BasePageModel : PageModel
    {
        protected ApplicationDbContext Context { get; }
        protected IAuthorizationService AuthorizationService { get; }
        protected UserManager<IdentityUser> UserManager { get; }

        public DI_BasePageModel(
            ApplicationDbContext context,
            IAuthorizationService authorizationService,
            UserManager<IdentityUser> userManager) : base()
        {
            Context = context;
            UserManager = userManager;
            AuthorizationService = authorizationService;
        } 
    }
}

上述 程式碼：

• 將 IAuthorizationService 服務新增以便存取授權處理器。
• 新增 IdentityUserManager 服務。
• 加入 ApplicationDbContext。

更新 CreateModel

更新建立頁面模型：

• 定義建構子以使用 DI_BasePageModel 基底類別。
• 將 OnPostAsync 方法設定為：
  • 將使用者識別碼新增至 Contact 模型。
  • 呼叫授權處理程式，以確認使用者具有建立連絡人的權限。

using ContactManager.Authorization;
using ContactManager.Data;
using ContactManager.Models;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Identity;
using Microsoft.AspNetCore.Mvc;

namespace ContactManager.Pages.Contacts
{
    public class CreateModel : DI_BasePageModel
    {
        public CreateModel(
            ApplicationDbContext context,
            IAuthorizationService authorizationService,
            UserManager<IdentityUser> userManager)
            : base(context, authorizationService, userManager)
        {
        }

        public IActionResult OnGet()
        {
            return Page();
        }

        [BindProperty]
        public Contact Contact { get; set; }

        public async Task<IActionResult> OnPostAsync()
        {
            if (!ModelState.IsValid)
            {
                return Page();
            }

            Contact.OwnerID = UserManager.GetUserId(User);

            var isAuthorized = await AuthorizationService.AuthorizeAsync(
                                                        User, Contact,
                                                        ContactOperations.Create);
            if (!isAuthorized.Succeeded)
            {
                return Forbid();
            }

            Context.Contact.Add(Contact);
            await Context.SaveChangesAsync();

            return RedirectToPage("./Index");
        }
    }
}

更新 IndexModel

更新 OnGetAsync 方法，只顯示給標準註冊用戶核 准 的聯絡人：

public class IndexModel : DI_BasePageModel
{
    public IndexModel(
        ApplicationDbContext context,
        IAuthorizationService authorizationService,
        UserManager<IdentityUser> userManager)
        : base(context, authorizationService, userManager)
    {
    }

    public IList<Contact> Contact { get; set; }

    public async Task OnGetAsync()
    {
        var contacts = from c in Context.Contact
                       select c;

        var isAuthorized = User.IsInRole(Constants.ContactManagersRole) ||
                           User.IsInRole(Constants.ContactAdministratorsRole);

        var currentUserId = UserManager.GetUserId(User);

        // Only approved contacts are shown UNLESS you're authorized to see them
        // or you are the owner.
        if (!isAuthorized)
        {
            contacts = contacts.Where(c => c.Status == ContactStatus.Approved
                                        || c.OwnerID == currentUserId);
        }

        Contact = await contacts.ToListAsync();
    }
}

更新 EditModel

新增授權處理常式，以確認使用者擁有連絡人。 因為正在驗證資源授權，光有 [Authorize] 屬性還不夠。 App 在評估屬性時不會access資源。 資源型授權必須是命令式的。 檢查必須在應用程式取得資源存取權後執行，無論是在頁面模型中載入資源，或是在處理程序本身載入。 你經常透過輸入資源金鑰來access資源。

public class EditModel : DI_BasePageModel
{
    public EditModel(
        ApplicationDbContext context,
        IAuthorizationService authorizationService,
        UserManager<IdentityUser> userManager)
        : base(context, authorizationService, userManager)
    {
    }

    [BindProperty]
    public Contact Contact { get; set; }

    public async Task<IActionResult> OnGetAsync(int id)
    {
        Contact? contact = await Context.Contact.FirstOrDefaultAsync(
                                                         m => m.ContactId == id);
        if (contact == null)
        {
            return NotFound();
        }

        Contact = contact;

        var isAuthorized = await AuthorizationService.AuthorizeAsync(
                                                  User, Contact,
                                                  ContactOperations.Update);
        if (!isAuthorized.Succeeded)
        {
            return Forbid();
        }

        return Page();
    }

    public async Task<IActionResult> OnPostAsync(int id)
    {
        if (!ModelState.IsValid)
        {
            return Page();
        }

        // Fetch Contact from DB to get OwnerID.
        var contact = await Context
            .Contact.AsNoTracking()
            .FirstOrDefaultAsync(m => m.ContactId == id);

        if (contact == null)
        {
            return NotFound();
        }

        var isAuthorized = await AuthorizationService.AuthorizeAsync(
                                                 User, contact,
                                                 ContactOperations.Update);
        if (!isAuthorized.Succeeded)
        {
            return Forbid();
        }

        Contact.OwnerID = contact.OwnerID;

        Context.Attach(Contact).State = EntityState.Modified;

        if (Contact.Status == ContactStatus.Approved)
        {
            // If the contact is updated after approval, 
            // and the user cannot approve,
            // set the status back to submitted so the update can be
            // checked and approved.
            var canApprove = await AuthorizationService.AuthorizeAsync(User,
                                    Contact,
                                    ContactOperations.Approve);

            if (!canApprove.Succeeded)
            {
                Contact.Status = ContactStatus.Submitted;
            }
        }

        await Context.SaveChangesAsync();

        return RedirectToPage("./Index");
    }
}

更新"DeleteModel"

更新刪除頁面模型以使用授權處理程序，並確認使用者對該聯絡人擁有刪除權限。

public class DeleteModel : DI_BasePageModel
{
    public DeleteModel(
        ApplicationDbContext context,
        IAuthorizationService authorizationService,
        UserManager<IdentityUser> userManager)
        : base(context, authorizationService, userManager)
    {
    }

    [BindProperty]
    public Contact Contact { get; set; }

    public async Task<IActionResult> OnGetAsync(int id)
    {
        Contact? _contact = await Context.Contact.FirstOrDefaultAsync(
                                             m => m.ContactId == id);

        if (_contact == null)
        {
            return NotFound();
        }
        Contact = _contact;

        var isAuthorized = await AuthorizationService.AuthorizeAsync(
                                                 User, Contact,
                                                 ContactOperations.Delete);
        if (!isAuthorized.Succeeded)
        {
            return Forbid();
        }

        return Page();
    }

    public async Task<IActionResult> OnPostAsync(int id)
    {
        var contact = await Context
            .Contact.AsNoTracking()
            .FirstOrDefaultAsync(m => m.ContactId == id);

        if (contact == null)
        {
            return NotFound();
        }

        var isAuthorized = await AuthorizationService.AuthorizeAsync(
                                                 User, contact,
                                                 ContactOperations.Delete);
        if (!isAuthorized.Succeeded)
        {
            return Forbid();
        }

        Context.Contact.Remove(contact);
        await Context.SaveChangesAsync();

        return RedirectToPage("./Index");
    }
}

將授權服務注入至視圖中

目前，UI 會顯示使用者無法修改之連絡人的編輯和刪除連結。

將授權服務注入 Pages/_ViewImports.cshtml 檔案，讓所有視圖都能使用：

@using Microsoft.AspNetCore.Identity
@using ContactManager
@using ContactManager.Data
@namespace ContactManager.Pages
@addTagHelper *, Microsoft.AspNetCore.Mvc.TagHelpers
@using ContactManager.Authorization;
@using Microsoft.AspNetCore.Authorization
@using ContactManager.Models
@inject IAuthorizationService AuthorizationService

上述標記會新增數個 using 陳述式。

更新 Pages/Contacts/Index.cshtml 檔案中的編輯與刪除連結，使其只呈現給擁有適當權限的使用者：

@page
@model ContactManager.Pages.Contacts.IndexModel

@{
    ViewData["Title"] = "Index";
}

<h1>Index</h1>

<p>
    <a asp-page="Create">Create New</a>
</p>
<table class="table">
    <thead>
        <tr>
            <th>
                @Html.DisplayNameFor(model => model.Contact[0].Name)
            </th>
            <th>
                @Html.DisplayNameFor(model => model.Contact[0].Address)
            </th>
            <th>
                @Html.DisplayNameFor(model => model.Contact[0].City)
            </th>
            <th>
                @Html.DisplayNameFor(model => model.Contact[0].State)
            </th>
            <th>
                @Html.DisplayNameFor(model => model.Contact[0].Zip)
            </th>
            <th>
                @Html.DisplayNameFor(model => model.Contact[0].Email)
            </th>
             <th>
                @Html.DisplayNameFor(model => model.Contact[0].Status)
            </th>
            <th></th>
        </tr>
    </thead>
    <tbody>
@foreach (var item in Model.Contact) {
        <tr>
            <td>
                @Html.DisplayFor(modelItem => item.Name)
            </td>
            <td>
                @Html.DisplayFor(modelItem => item.Address)
            </td>
            <td>
                @Html.DisplayFor(modelItem => item.City)
            </td>
            <td>
                @Html.DisplayFor(modelItem => item.State)
            </td>
            <td>
                @Html.DisplayFor(modelItem => item.Zip)
            </td>
            <td>
                @Html.DisplayFor(modelItem => item.Email)
            </td>
                           <td>
                    @Html.DisplayFor(modelItem => item.Status)
                </td>
                <td>
                    @if ((await AuthorizationService.AuthorizeAsync(
                     User, item,
                     ContactOperations.Update)).Succeeded)
                    {
                        <a asp-page="./Edit" asp-route-id="@item.ContactId">Edit</a>
                        <text> | </text>
                    }

                    <a asp-page="./Details" asp-route-id="@item.ContactId">Details</a>

                    @if ((await AuthorizationService.AuthorizeAsync(
                     User, item,
                     ContactOperations.Delete)).Succeeded)
                    {
                        <text> | </text>
                        <a asp-page="./Delete" asp-route-id="@item.ContactId">Delete</a>
                    }
                </td>
            </tr>
        }
    </tbody>
</table>

Warning

隱藏沒有變更資料權限之使用者的連結，並不會保護應用程式的安全。 隱藏連結可讓應用程式更易於使用，也就是只顯示有效的連結。 使用者可以對產生的 URL 進行駭客攻擊，以叫用他們未擁有資料的編輯和刪除作業。 Razor 頁面或控制器必須強制執行 access 檢查以保護資料安全。

更新詳情

更新詳細資料檢視，讓管理員可以核准或拒絕連絡人：

        @*Preceding markup omitted for brevity.*@
        <dt class="col-sm-2">
            @Html.DisplayNameFor(model => model.Contact.Email)
        </dt>
        <dd class="col-sm-10">
            @Html.DisplayFor(model => model.Contact.Email)
        </dd>
    <dt>
            @Html.DisplayNameFor(model => model.Contact.Status)
        </dt>
        <dd>
            @Html.DisplayFor(model => model.Contact.Status)
        </dd>
    </dl>
</div>

@if (Model.Contact.Status != ContactStatus.Approved)
{
    @if ((await AuthorizationService.AuthorizeAsync(
     User, Model.Contact, ContactOperations.Approve)).Succeeded)
    {
        <form style="display:inline;" method="post">
            <input type="hidden" name="id" value="@Model.Contact.ContactId" />
            <input type="hidden" name="status" value="@ContactStatus.Approved" />
            <button type="submit" class="btn btn-xs btn-success">Approve</button>
        </form>
    }
}

@if (Model.Contact.Status != ContactStatus.Rejected)
{
    @if ((await AuthorizationService.AuthorizeAsync(
     User, Model.Contact, ContactOperations.Reject)).Succeeded)
    {
        <form style="display:inline;" method="post">
            <input type="hidden" name="id" value="@Model.Contact.ContactId" />
            <input type="hidden" name="status" value="@ContactStatus.Rejected" />
            <button type="submit" class="btn btn-xs btn-danger">Reject</button>
        </form>
    }
}

<div>
    @if ((await AuthorizationService.AuthorizeAsync(
         User, Model.Contact,
         ContactOperations.Update)).Succeeded)
    {
        <a asp-page="./Edit" asp-route-id="@Model.Contact.ContactId">Edit</a>
        <text> | </text>
    }
    <a asp-page="./Index">Back to List</a>
</div>

更新詳細資料頁面模型

public class DetailsModel : DI_BasePageModel
{
    public DetailsModel(
        ApplicationDbContext context,
        IAuthorizationService authorizationService,
        UserManager<IdentityUser> userManager)
        : base(context, authorizationService, userManager)
    {
    }

    public Contact Contact { get; set; }

    public async Task<IActionResult> OnGetAsync(int id)
    {
        Contact? _contact = await Context.Contact.FirstOrDefaultAsync(m => m.ContactId == id);

        if (_contact == null)
        {
            return NotFound();
        }
        Contact = _contact;

        var isAuthorized = User.IsInRole(Constants.ContactManagersRole) ||
                           User.IsInRole(Constants.ContactAdministratorsRole);

        var currentUserId = UserManager.GetUserId(User);

        if (!isAuthorized
            && currentUserId != Contact.OwnerID
            && Contact.Status != ContactStatus.Approved)
        {
            return Forbid();
        }

        return Page();
    }

    public async Task<IActionResult> OnPostAsync(int id, ContactStatus status)
    {
        var contact = await Context.Contact.FirstOrDefaultAsync(
                                                  m => m.ContactId == id);

        if (contact == null)
        {
            return NotFound();
        }

        var contactOperation = (status == ContactStatus.Approved)
                                                   ? ContactOperations.Approve
                                                   : ContactOperations.Reject;

        var isAuthorized = await AuthorizationService.AuthorizeAsync(User, contact,
                                    contactOperation);
        if (!isAuthorized.Succeeded)
        {
            return Forbid();
        }
        contact.Status = status;
        Context.Contact.Update(contact);
        await Context.SaveChangesAsync();

        return RedirectToPage("./Index");
    }
}

新增或移除使用者角色

更新使用者的角色分配可以讓你控制使用者可用的權限。 移除使用者角色，並限制他們更改資料的能力，例如編輯或刪除聯絡人。 新增使用者到角色中，並提升他們進行全域變更的權限。 你也可以使用角色分配來限制使用者參與，例如在聊天對話中靜音某位使用者。

更多資訊請參見 GitHub dotnet/aspnetcore issue #8502 - 靜音或移除使用者權限。行政變更。

挑戰與禁止之間的差異

此應用程式會將預設原則設定為要求已驗證的使用者。 下列程式碼允許匿名使用者。 匿名用戶可展示挑戰與禁止之間的差異。

[AllowAnonymous]
public class Details2Model : DI_BasePageModel
{
    public Details2Model(
        ApplicationDbContext context,
        IAuthorizationService authorizationService,
        UserManager<IdentityUser> userManager)
        : base(context, authorizationService, userManager)
    {
    }

    public Contact Contact { get; set; }

    public async Task<IActionResult> OnGetAsync(int id)
    {
        Contact? _contact = await Context.Contact.FirstOrDefaultAsync(m => m.ContactId == id);

        if (_contact == null)
        {
            return NotFound();
        }
        Contact = _contact;

        if (!User.Identity!.IsAuthenticated)
        {
            return Challenge();
        }

        var isAuthorized = User.IsInRole(Constants.ContactManagersRole) ||
                           User.IsInRole(Constants.ContactAdministratorsRole);

        var currentUserId = UserManager.GetUserId(User);

        if (!isAuthorized
            && currentUserId != Contact.OwnerID
            && Contact.Status != ContactStatus.Approved)
        {
            return Forbid();
        }

        return Page();
    }
}

在上述程式碼中：

• 當使用者未通過驗證時，即會傳回 ChallengeResult。 傳回 ChallengeResult 時，使用者會重新導向至登入頁面。
• 當使用者經過驗證但未獲得授權時，即會傳回 ForbidResult。 當回傳 ForbidResult 時，使用者會被重新導向到access拒絕的頁面。

測試已完成的應用程式

Warning

本文使用 祕密管理員工具 來儲存植入使用者帳戶的密碼。 祕密管理員工具會在區域開發期間儲存敏感性資料。 如需將應用程式部署至測試，或是生產環境時可使用到的驗證程序相關資訊，請參閱保護驗證流程那一章節。

如果您尚未為植入的使用者帳戶設定密碼，請使用祕密管理員工具來設定密碼：

• 選擇強式密碼：

  • 至少 12 個字元，但 14 個以上會更好。
  • 大寫字母、小寫字母、數字及符號的組合。
  • 不是字典中可以找到的詞，或人名、角色、產品或組織名稱。
  • 與先前的密碼明顯不同
  • 容易讓您記住，但其他人難以猜到。 考慮使用像 6MonkeysRLooking^ 這樣容易記住的片語。

• 從project資料夾執行以下指令，其中 <PW> 為密碼：

  dotnet user-secrets set SeedUserPW <PW>
  

如果應用程式具有連絡人：

• 刪除 Contact 資料表中的所有記錄。
• 重新啟動應用程式以初始化資料庫。

測試已經完成的應用程式的一個簡單方法是開啟三種不同的瀏覽器 (或「隱私瀏覽/InPrivate」工作階段)。 在一個瀏覽器中，註冊新的使用者 (例如 test@contoso.com)。 以不同的使用者登入每個瀏覽器。 確認下列作業：

• 註冊用戶可查看所有 核准 的聯絡資料。
• 已註冊的使用者可以編輯/刪除自己的資料。
• 管理員可以核准/拒絕連絡人資料。 Details 檢視會顯示 [核准] 和 [拒絕] 按鈕。
• 系統管理員可以核准/拒絕以及編輯/刪除所有資料。

User	批准/拒絕聯絡	選項
test@contoso.com	No	編輯和刪除其資料。
manager@contoso.com	Yes	編輯和刪除其資料。
admin@contoso.com	Yes	編輯和刪除所有資料。

在系統管理員的瀏覽器中建立連絡人。 複製從系統管理員聯絡方式獲取的刪除和編輯的 URL。 將這些連結貼到測試使用者的瀏覽器，並確認測試使用者無法執行這些操作。

建立入門應用程式

• 建立一個 Razor Pages 應用程式：

  • 使用 個別帳戶建立應用程式。
  • 將應用程式命名 為 ContactManager，這樣命名空間就會與範例中使用的命名空間相符。
  • 用這個 -uld 旗標來指定 LocalDB，而不是 SQLite。

  dotnet new webapp -o ContactManager -au Individual -uld
  

• 新增 Models/Contact.cs 檔案：

  using System.ComponentModel.DataAnnotations;
  
  namespace ContactManager.Models
  {
      public class Contact
      {
          public int ContactId { get; set; }
          public string? Name { get; set; }
          public string? Address { get; set; }
          public string? City { get; set; }
          public string? State { get; set; }
          public string? Zip { get; set; }
          [DataType(DataType.EmailAddress)]
          public string? Email { get; set; }
      }
  }
  

• 建立 Contact 模型骨架。

• 建立初始移轉並更新資料庫：

  dotnet add package Microsoft.VisualStudio.Web.CodeGeneration.Design
  dotnet tool install -g dotnet-aspnet-codegenerator
  dotnet-aspnet-codegenerator razorpage -m Contact -udl -dc ApplicationDbContext -outDir Pages\Contacts --referenceScriptLibraries
  dotnet ef database drop -f
  dotnet ef migrations add initial
  dotnet ef database update
  

  Note

  預設情況下，安裝的 .NET 二進位架構代表目前執行的作業系統架構。 若要指定不同的架構，請檢視如何使用帶有dotnet tool install的指令。 更多資訊請參見 GitHub dotnet/aspnetcore.docs issue #29262 - 在 Apple Silicon 上新增 '-a arm64'。

• 更新 Pages/Shared/_Layout.cshtml 檔案中的 ContactManager 錨點：

  <a class="nav-link text-dark" asp-area="" asp-page="/Contacts/Index">Contact Manager</a>
  

• 建立、編輯和刪除連絡人以測試應用程式

初始化資料庫

將 SeedData 類別加入 Data 資料夾：

using ContactManager.Models;
using Microsoft.EntityFrameworkCore;

// dotnet aspnet-codegenerator razorpage -m Contact -dc ApplicationDbContext -udl -outDir Pages\Contacts --referenceScriptLibraries

namespace ContactManager.Data
{
    public static class SeedData
    {
        public static async Task Initialize(IServiceProvider serviceProvider, string testUserPw="")
        {
            using (var context = new ApplicationDbContext(
                serviceProvider.GetRequiredService<DbContextOptions<ApplicationDbContext>>()))
            {
                SeedDB(context, testUserPw);
            }
        }

        public static void SeedDB(ApplicationDbContext context, string adminID)
        {
            if (context.Contact.Any())
            {
                return;   // DB has been seeded
            }

            context.Contact.AddRange(
                new Contact
                {
                    Name = "Debra Garcia",
                    Address = "1234 Main St",
                    City = "Redmond",
                    State = "WA",
                    Zip = "10999",
                    Email = "debra@example.com"
                },
                new Contact
                {
                    Name = "Thorsten Weinrich",
                    Address = "5678 1st Ave W",
                    City = "Redmond",
                    State = "WA",
                    Zip = "10999",
                    Email = "thorsten@example.com"
                },
                new Contact
                {
                    Name = "Yuhong Li",
                    Address = "9012 State st",
                    City = "Redmond",
                    State = "WA",
                    Zip = "10999",
                    Email = "yuhong@example.com"
                },
                new Contact
                {
                    Name = "Jon Orton",
                    Address = "3456 Maple St",
                    City = "Redmond",
                    State = "WA",
                    Zip = "10999",
                    Email = "jon@example.com"
                },
                new Contact
                {
                    Name = "Diliana Alexieva-Bosseva",
                    Address = "7890 2nd Ave E",
                    City = "Redmond",
                    State = "WA",
                    Zip = "10999",
                    Email = "diliana@example.com"
                }
             );
            context.SaveChanges();
        }

    }
}

從 SeedData.Initialize 檔案呼叫該方法：

using Microsoft.AspNetCore.Identity;
using Microsoft.EntityFrameworkCore;
using ContactManager.Data;

var builder = WebApplication.CreateBuilder(args);

var connectionString = builder.Configuration.GetConnectionString("DefaultConnection");
builder.Services.AddDbContext<ApplicationDbContext>(options =>
    options.UseSqlServer(connectionString));
builder.Services.AddDatabaseDeveloperPageExceptionFilter();

builder.Services.AddDefaultIdentity<IdentityUser>(options => options.SignIn.RequireConfirmedAccount = true)
    .AddEntityFrameworkStores<ApplicationDbContext>();
builder.Services.AddRazorPages();

var app = builder.Build();

using (var scope = app.Services.CreateScope())
{
    var services = scope.ServiceProvider;

    await SeedData.Initialize(services);
}

if (app.Environment.IsDevelopment())
{
    app.UseMigrationsEndPoint();
}
else
{
    app.UseExceptionHandler("/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();

app.UseRouting();

app.UseAuthentication();
app.UseAuthorization();

app.MapRazorPages();

app.Run();

測試應用程式並確認資料庫已匯入初始資料。 如果聯絡人資料庫中有任何列，種子方法就不會執行。

相關內容

• 教學：在 Azure App 服務 中建立一個 ASP.NET Core 和 Azure SQL Database 應用程式
• ASP.NET Core授權實驗室（安全功能詳細說明）
• ASP.NET Core 授權導論
• 自訂原則式授權