ASP.NET Core中的簡單授權

發行項
11/28/2022

ASP.NET Core中的授權是由及其各種參數所控制 AuthorizeAttribute 。在最基本的形式中，將 [Authorize] 屬性套用至控制器、動作或 Razor Page，會限制對該元件的存取權給已驗證的使用者。

下列程式碼會限制對已驗證使用者的存取 AccountController ：

[Authorize]
public class AccountController : Controller
{
    public ActionResult Login()
    {
    }

    public ActionResult Logout()
    {
    }
}

如果您想要將授權套用至動作，而不是控制器，請將 AuthorizeAttribute 屬性套用至動作本身：

public class AccountController : Controller
{
   public ActionResult Login()
   {
   }

   [Authorize]
   public ActionResult Logout()
   {
   }
}

現在只有已驗證的使用者才能存取函 Logout 式。

您也可以使用 AllowAnonymous 屬性，允許非驗證的使用者存取個別動作。例如：

[Authorize]
public class AccountController : Controller
{
    [AllowAnonymous]
    public ActionResult Login()
    {
    }

    public ActionResult Logout()
    {
    }
}

這只允許已驗證的使用者到 AccountController ，但動作除外 Login ，不論其已驗證或未驗證/匿名狀態為何，每個人都可存取此動作。

警告

[AllowAnonymous] 略過所有授權語句。如果您合併 [AllowAnonymous] 和任何 [Authorize] 屬性， [Authorize] 則會忽略屬性。例如，如果您在控制器層級套用 [AllowAnonymous] ， [Authorize] 則會忽略相同控制器 (或其內的任何動作上的任何屬性) 。

下列程式碼會限制對已驗證使用者的頁面存取 LogoutModelRazor ：

[Authorize]
public class LogoutModel : PageModel
{
    public async Task OnGetAsync()
    {

    }

    public async Task<IActionResult> OnPostAsync()
    {

    }
}

如需如何全域要求所有使用者進行驗證的資訊，請參閱要求已驗證的使用者。

授權屬性和 Razor Pages

AuthorizeAttribute無法套用至 Razor Page 處理常式。例如， [Authorize] 無法套用至 OnGet 、 OnPost 或任何其他頁面處理常式。請考慮針對具有不同處理常式不同授權需求的頁面使用 ASP.NET Core MVC 控制器。需要不同的授權需求時，請使用 MVC 控制器：

這是最不復雜的方法。
這是 Microsoft 建議的方法。

如果您決定不使用 MVC 控制器，下列兩種方法可用來將授權套用至 Razor Page 處理常式方法：

針對需要不同授權的頁面處理常式使用不同的頁面。將共用內容移至一或多個部分檢視。可能的話，這是建議的方法。

對於必須共用通用頁面的內容，請撰寫篩選，以在 IAsyncPageFilter.OnPageHandlerSelectionAsync中執行授權。 PageHandlerAuth GitHub 專案示範此方法：

AuthorizationIndexPageHandlerFilter會實作授權篩選器：

[TypeFilter(typeof(AuthorizeIndexPageHandlerFilter))]
public class IndexModel : PageModel
{
    private readonly ILogger<IndexModel> _logger;

    public IndexModel(ILogger<IndexModel> logger)
    {
        _logger = logger;
    }

    public void OnGet()
    {

    }

    public void OnPost()
    {

    }

    [AuthorizePageHandler]
    public void OnPostAuthorized()
    {

    }
}

[AuthorizePageHandler]屬性會套用至 OnPostAuthorized 頁面處理常式：

public class AuthorizeIndexPageHandlerFilter : IAsyncPageFilter, IOrderedFilter
{
    private readonly IAuthorizationPolicyProvider policyProvider;
    private readonly IPolicyEvaluator policyEvaluator;

    public AuthorizeIndexPageHandlerFilter(
        IAuthorizationPolicyProvider policyProvider,
        IPolicyEvaluator policyEvaluator)
    {
        this.policyProvider = policyProvider;
        this.policyEvaluator = policyEvaluator;
    }

    // Run late in the selection pipeline
    public int Order => 10000;

    public Task OnPageHandlerExecutionAsync(PageHandlerExecutingContext context, PageHandlerExecutionDelegate next) => next();

    public async Task OnPageHandlerSelectionAsync(PageHandlerSelectedContext context)
    {
        var attribute = context.HandlerMethod?.MethodInfo?.GetCustomAttribute<AuthorizePageHandlerAttribute>();
        if (attribute is null)
        {
            return;
        }

        var policy = await AuthorizationPolicy.CombineAsync(policyProvider, new[] { attribute });
        if (policy is null)
        {
            return;
        }

        await AuthorizeAsync(context, policy);
    }

    #region AuthZ - do not change
    private async Task AuthorizeAsync(ActionContext actionContext, AuthorizationPolicy policy)
    {
        var httpContext = actionContext.HttpContext;
        var authenticateResult = await policyEvaluator.AuthenticateAsync(policy, httpContext);
        var authorizeResult = await policyEvaluator.AuthorizeAsync(policy, authenticateResult, httpContext, actionContext.ActionDescriptor);
        if (authorizeResult.Challenged)
        {
            if (policy.AuthenticationSchemes.Count > 0)
            {
                foreach (var scheme in policy.AuthenticationSchemes)
                {
                    await httpContext.ChallengeAsync(scheme);
                }
            }
            else
            {
                await httpContext.ChallengeAsync();
            }

            return;
        }
        else if (authorizeResult.Forbidden)
        {
            if (policy.AuthenticationSchemes.Count > 0)
            {
                foreach (var scheme in policy.AuthenticationSchemes)
                {
                    await httpContext.ForbidAsync(scheme);
                }
            }
            else
            {
                await httpContext.ForbidAsync();
            }

            return;
        }
    }

警告

PageHandlerAuth範例方法不會：

使用套用至頁面、頁面模型或全域的授權屬性撰寫。撰寫授權屬性會導致當您有多個 AuthorizeAttribute 或 AuthorizeFilter 實例同時套用至頁面時多次執行驗證和授權。
與其余 ASP.NET Core驗證和授權系統搭配運作。您必須確認使用此方法對應用程式正常運作。

頁面處理常式上 Razor 沒有支援 AuthorizeAttribute 的計畫。

ASP.NET Core中的簡單授權

授權屬性和 Razor Pages

其他資源

其他資源