欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  IT编程

asp.net core 使用 AccessControlHelper 控制访问权限

程序员文章站 2023-11-14 16:53:10
由于项目需要,需要在基于 asp.net mvc 的 Web 项目框架中做权限的控制,于是才有了这个权限控制组件,最初只是支持 netframework,后来 dotnetcore 2.0 发布了之后添加了对 asp.net core 的支持,在 dotnetcore 3.0 发布之后也增加了对 a... ......

asp.net core 使用 accesscontrolhelper 控制访问权限

intro

由于项目需要,需要在基于 asp.net mvc 的 web 项目框架中做权限的控制,于是才有了这个权限控制组件,最初只是支持 netframework,后来 dotnetcore 2.0 发布了之后添加了对 asp.net core 的支持,在 dotnetcore 3.0 发布之后也增加了对 asp.net core 3.0 的支持(1.9.0及之后版本),目前对于 asp.net core 支持的更多一些,asp.net core 可以使用 taghelper 来控制页面上元素的权限访问,也可以通过 policy 来控制权限访问,同时支持通过中间件也可以实现对静态资源的访问。

安装 accesscontrolhelper nuget 包

安装 nuget 包 weihanli.aspnetmvc.accesscontrolhelper

dotnet add package weihanli.aspnetmvc.accesscontrolhelper

实现自己的访问策略

资源访问策略/api访问策略

以下代码定义了一个简单的访问策略,需要登录且拥有 admin 角色,可以根据自己需要调整优化

public class adminpermissionrequirestrategy : iresourceaccessstrategy
{
    private readonly ihttpcontextaccessor _accessor;

    public adminpermissionrequirestrategy(ihttpcontextaccessor accessor)
    {
        _accessor = accessor;
    }

    public bool iscanaccess(string accesskey)
    {
        var user = _accessor.httpcontext.user;
        return user.identity.isauthenticated && user.isinrole("admin");
    }

    public iactionresult disallowedcommonresult => new contentresult
    {
        content = "no permission",
        contenttype = "text/plain",
        statuscode = 403
    };

    public iactionresult disallowedajaxresult => new jsonresult(new jsonresultmodel
    {
        errormsg = "no permission",
        status = jsonresultstatus.nopermission
    });
}

页面元素访问策略

定义页面元素/控件访问策略:

public class adminonlycontrolaccessstrategy : icontrolaccessstrategy
{
    private readonly ihttpcontextaccessor _accessor;

    public adminonlycontrolaccessstrategy(ihttpcontextaccessor httpcontextaccessor) => _accessor = httpcontextaccessor;

    public bool iscontrolcanaccess(string accesskey)
    {
        if ("never".equals(accesskey, system.stringcomparison.ordinalignorecase))
        {
            return false;
        }
        var user = _accessor.httpcontext.user;
        return user.identity.isauthenticated && user.isinrole("admin");
    }
}

服务注册配置

在 startup 里注册服务:

services.addaccesscontrolhelper()
   .addresourceaccessstrategy<filters.adminpermissionrequirestrategy>()
    .addcontrolaccessstrategy<filters.adminonlycontrolaccessstrategy>()
    ;

如果你只是 web api ,不涉及到页面元素的权限控制可以只注册 resourceaccessstrategy

services.addaccesscontrolhelper()
.addresourceaccessstrategy<filters.adminpermissionrequirestrategy>();

默认访问策略的生命周期是单例的,如果需要注册为scoped,可以指定默认的生命周期

services.addaccesscontrolhelper()
.addresourceaccessstrategy<filters.adminpermissionrequirestrategy>(servicelifetime.scoped);

api/资源的权限控制

对于 asp.net core 应用推荐使用 policy 来控制权限的访问,可以在需要权限控制的 action 或者 controller 上设置 [authorize("accesscontrol")] 或者 [authorize(accesscontrolhelperconstants.policyname)]

[authorize(accesscontrolhelperconstants.policyname)]
public class systemsettingscontroller : adminbasecontroller
{
    // ...
}
[authorize(accesscontrolhelperconstants.policyname)]
public actionresult userlist()
{
    return view();
}

页面元素的权限控制

引用 taghelper

在 views 目录下的 _viewimports.cshtml 文件中导入 accesscontrolhelper 的 taghelper

@using activityreservation
@using weihanli.aspnetmvc.accesscontrolhelper
@using weihanli.aspnetmvc.mvcsimplepager

@addtaghelper *, microsoft.aspnetcore.mvc.taghelpers
@addtaghelper *, weihanli.aspnetmvc.accesscontrolhelper

详见: https://github.com/weihanli/activityreservation/blob/dev/activityreservation/areas/admin/views/_viewimports.cshtml

页面元素配置

在需要权限控制的元素上增加 asp-access 的 attribute 就可以了,如果需要 access-key 通过 asp-access-key 来配置

<ul class="list-group" asp-access asp-access-key="adminonly">
    <li role="separator" class="list-unstyled">
        <br />
    </li>
    <li class="list-group-item">@html.actionlink("用户管理", "userlist", "account")</li>

    <li class="list-group-item">@html.actionlink("操作日志查看", "index", "operationlog")</li>
    <li class="list-group-item">@html.actionlink("系统设置管理", "index", "systemsettings")</li>
    <li class="list-group-item">
        @html.actionlink("微信设置管理", "index", new {
        controller = "config",
        area = "wechat"
    })
    </li>
</ul>

这样就可以了,有权限访问的时候才会正常渲染,没有权限访问的时候,这一段 ul 并不会渲染输出,在客户端浏览器查看源代码也不会看到对应的代码

reference