WebApi權限驗證流程的設計和實現

時間  2019-12-09
標籤 webapi 權限 驗證 流程 設計 實現 简体版
原文   原文鏈接

前言：Web 用戶的身份驗證，及頁面操做權限驗證是B/S系統的基礎功能，一個功能複雜的業務應用系統，經過角色受權來控制用戶訪問，本文經過Form認證，Mvc的Controller基類及Action的權限驗證來實現Web系統登陸，Mvc前端權限校驗以及WebApi服務端的訪問校驗功能。html

 

1. Web Form認證介紹前端

Web應用的訪問方式由於是基於瀏覽器的Http地址請求，因此須要驗證用戶身份的合法性。目前常見的方式是Form認證，其處理邏輯描述以下：
1. 用戶首先要在登陸頁面輸入用戶名和密碼，而後登陸系統，獲取合法身份的票據，再執行後續業務處理操做；
2. 用戶在沒有登陸的狀況下提交Http頁面訪問請求，若是該頁面不容許匿名訪問，則直接跳轉到登陸頁面；
3. 對於容許匿名訪問的頁面請求，系統不作權限驗證，直接處理業務數據，並返回給前端；
4. 對於不一樣權限要求的頁面Action操做，系統須要校驗用戶角色，計算權限列表，若是請求操做在權限列表中，則正常訪問，若是不在權限列表中，則提示「未受權的訪問操做」到異常處理頁面。web

 

2. WebApi 服務端Basic 方式驗證數據庫

WebApi服務端接收訪問請求，須要作安全驗證處理，驗證處理步驟以下：
1. 若是是合法的Http請求，在Http請求頭中會有用戶身份的票據信息，服務端會讀取票據信息，並校驗票據信息是否完整有效，若是知足校驗要求，則進行業務數據的處理，並返回給請求發起方；
2. 若是沒有票據信息，或者票據信息不是合法的，則返回「未受權的訪問」異常消息給前端，由前端處理此異常。json

 

3. 登陸及權限驗證流程api

流程處理步驟說明：
1. 用戶打開瀏覽器，並在地址欄中輸入頁面請求地址，提交；
2. 瀏覽器解析Http請求，發送到Web服務器；Web服務器驗證用戶請求，首先判斷是否有登陸的票據信息；
3. 用戶沒有登陸票據信息，則跳轉到登陸頁面；
4. 用戶輸入用戶名和密碼信息；
5. 瀏覽器提交登陸表單數據給Web服務器；
6. Web服務須要驗證用戶名和密碼是否匹配，發送api請求給api服務器；
7. api用戶帳戶服務根據用戶名，讀取存儲在數據庫中的用戶資料，判斷密碼是否匹配；
1）若是用戶名和密碼不匹配，則提示密碼錯誤等信息，然該用戶從新填寫登陸資料；
2）若是驗證經過，則保存用戶票據信息；
8. 接第3步，若是用戶有登陸票據信息，則跳轉到用戶請求的頁面；
9. 驗證用戶對當前要操做的頁面或頁面元素是否有權限操做，首先須要發起api服務請求，獲取用戶的權限數據；
10. api用戶權限服務根據用戶名，查找該用戶的角色信息，並計算用戶權限列表，封裝爲Json數據並返回；
11. 當用戶有權限操做頁面或頁面元素時，跳轉到頁面，並由頁面Controller提交業務數據處理請求到api服務器；
   若是用戶沒有權限訪問該頁面或頁面元素時，則顯示「未受權的訪問操做」，跳轉到系統異常處理頁面。
12. api業務服務處理業務邏輯，並將結果以Json 數據返回；
13. 返回渲染後的頁面給瀏覽器前端，並呈現業務數據到頁面；
14. 用戶填寫業務數據，或者查找業務數據；
15. 當填寫或查找完業務數據後，用戶提交表單數據；
16. 瀏覽器腳本提交get，post等請求給web服務器，由web服務器再次解析請求操做，重複步驟2的後續流程；
17. 當api服務器驗證用戶身份是，沒有可信用戶票據，系統提示「未受權的訪問操做」，跳轉到系統異常處理頁面。瀏覽器

 

4. Mvc前端代碼示例安全

4.1 用戶登陸AccountController服務器

[csharp]  view plain copy
 
  1. <span style="font-size: 18px;"> </span><span style="font-size: 14px;">
  2. public class AccountController : Controller  
  3.     {  
  4.         //  
  5.         // GET: /Logon/  
  6.   
  7.         public ActionResult Login(string returnUrl)  
  8.         {  
  9.             ViewBag.ReturnUrl = returnUrl;  
  10.             return View();  
  11.         }  
  12.   
  13.         [HttpPost]  
  14.         public ActionResult Logon(LoginUser loginUser, string returnUrl)  
  15.         {  
  16.             string strUserName = loginUser.UserName;  
  17.             string strPassword = loginUser.Password;  
  18.             var accountModel = new AccountModel();  
  19.   
  20.             //驗證用戶是不是系統註冊用戶  
  21.             if (accountModel.ValidateUserLogin(strUserName, strPassword))  
  22.             {  
  23.                 if (Url.IsLocalUrl(returnUrl))  
  24.                 {  
  25.                     //建立用戶ticket信息  
  26.                     accountModel.CreateLoginUserTicket(strUserName, strPassword);  
  27.   
  28.                     //讀取用戶權限數據  
  29.                     accountModel.GetUserAuthorities(strUserName);  
  30.   
  31.                     return new RedirectResult(returnUrl);  
  32.                 }  
  33.                 else  
  34.                 {  
  35.                     return RedirectToAction("Index", "Home");  
  36.                 }                 
  37.             }  
  38.             else  
  39.             {  
  40.                 throw new ApplicationException("無效登陸用戶！");  
  41.             }  
  42.         }  
  43.   
  44.         /// <summary>  
  45.         /// 用戶註銷，註銷以前，清除用戶ticket  
  46.         /// </summary>  
  47.         /// <returns></returns>  
  48.         [HttpPost]  
  49.         public ActionResult Logout()  
  50.         {  
  51.             var accountModel = new AccountModel();  
  52.             accountModel.Logout();  
  53.   
  54.             return RedirectToAction("Login", "Account");  
  55.         }  
  56.     }</span>  
[csharp]  view plain copy
 
  1. <span style="font-size:18px;"> </span><span style="font-size:14px;">public class AccountController : Controller  
  2.     {  
  3.         //  
  4.         // GET: /Logon/  
  5.   
  6.         public ActionResult Login(string returnUrl)  
  7.         {  
  8.             ViewBag.ReturnUrl = returnUrl;  
  9.             return View();  
  10.         }  
  11.   
  12.         [HttpPost]  
  13.         public ActionResult Logon(LoginUser loginUser, string returnUrl)  
  14.         {  
  15.             string strUserName = loginUser.UserName;  
  16.             string strPassword = loginUser.Password;  
  17.             var accountModel = new AccountModel();  
  18.   
  19.             //驗證用戶是不是系統註冊用戶  
  20.             if (accountModel.ValidateUserLogin(strUserName, strPassword))  
  21.             {  
  22.                 if (Url.IsLocalUrl(returnUrl))  
  23.                 {  
  24.                     //建立用戶ticket信息  
  25.                     accountModel.CreateLoginUserTicket(strUserName, strPassword);  
  26.   
  27.                     //讀取用戶權限數據  
  28.                     accountModel.GetUserAuthorities(strUserName);  
  29.   
  30.                     return new RedirectResult(returnUrl);  
  31.                 }  
  32.                 else  
  33.                 {  
  34.                     return RedirectToAction("Index", "Home");  
  35.                 }                 
  36.             }  
  37.             else  
  38.             {  
  39.                 throw new ApplicationException("無效登陸用戶！");  
  40.             }  
  41.         }  
  42.   
  43.         /// <summary>  
  44.         /// 用戶註銷，註銷以前，清除用戶ticket  
  45.         /// </summary>  
  46.         /// <returns></returns>  
  47.         [HttpPost]  
  48.         public ActionResult Logout()  
  49.         {  
  50.             var accountModel = new AccountModel();  
  51.             accountModel.Logout();  
  52.   
  53.             return RedirectToAction("Login", "Account");  
  54.         }  
  55.     }</span>  

 

4.2 用戶模型AccountModelcookie

[csharp]  view plain copy
 
  1. <span style="font-size: 14px;">
  2. public class AccountModel  
  3.     {  
  4.         /// <summary>  
  5.         /// 建立登陸用戶的票據信息  
  6.         /// </summary>  
  7.         /// <param name="strUserName"></param>  
  8.         internal void CreateLoginUserTicket(string strUserName, string strPassword)  
  9.         {  
  10.             //構造Form驗證的票據信息  
  11.             FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1, strUserName, DateTime.Now, DateTime.Now.AddMinutes(90),  
  12.                 true, string.Format("{0}:{1}", strUserName, strPassword), FormsAuthentication.FormsCookiePath);  
  13.   
  14.             string ticString = FormsAuthentication.Encrypt(ticket);  
  15.   
  16.             //把票據信息寫入Cookie和Session  
  17.             //SetAuthCookie方法用於標識用戶的Identity狀態爲true  
  18.             HttpContext.Current.Response.Cookies.Add(new HttpCookie(FormsAuthentication.FormsCookieName, ticString));  
  19.             FormsAuthentication.SetAuthCookie(strUserName, true);  
  20.             HttpContext.Current.Session["USER_LOGON_TICKET"] = ticString;  
  21.               
  22.             //重寫HttpContext中的用戶身份，能夠封裝自定義角色數據；  
  23.             //判斷是否合法用戶，能夠檢查：HttpContext.User.Identity.IsAuthenticated的屬性值  
  24.             string[] roles = ticket.UserData.Split(',');  
  25.             IIdentity identity = new FormsIdentity(ticket);  
  26.             IPrincipal principal = new GenericPrincipal(identity, roles);  
  27.             HttpContext.Current.User = principal;  
  28.         }  
  29.   
  30.         /// <summary>  
  31.         /// 獲取用戶權限列表數據  
  32.         /// </summary>  
  33.         /// <param name="userName"></param>  
  34.         /// <returns></returns>  
  35.         internal string GetUserAuthorities(string userName)  
  36.         {  
  37.             //從WebApi 訪問用戶權限數據，而後寫入Session  
  38.             string jsonAuth = "[{\"Controller\": \"SampleController\", \"Actions\":\"Apply,Process,Complete\"}, {\"Controller\": \"Product\", \"Actions\": \"List,Get,Detail\"}]";  
  39.             var userAuthList = ServiceStack.Text.JsonSerializer.DeserializeFromString(jsonAuth, typeof(UserAuthModel[]));  
  40.             HttpContext.Current.Session["USER_AUTHORITIES"] = userAuthList;  
  41.   
  42.             return jsonAuth;  
  43.         }  
  44.   
  45.         /// <summary>  
  46.         /// 讀取數據庫用戶表數據，判斷用戶密碼是否匹配  
  47.         /// </summary>  
  48.         /// <param name="name"></param>  
  49.         /// <param name="password"></param>  
  50.         /// <returns></returns>  
  51.         internal bool ValidateUserLogin(string name, string password)  
  52.         {  
  53.             //bool isValid = password == passwordInDatabase;  
  54.             return true;  
  55.         }  
  56.   
  57.         /// <summary>  
  58.         /// 用戶註銷執行的操做  
  59.         /// </summary>  
  60.         internal void Logout()  
  61.         {  
  62.             FormsAuthentication.SignOut();  
  63.         }  
  64.     }</span>  
[csharp]  view plain copy
 
  1. <span style="font-size:14px;">public class AccountModel  
  2.     {  
  3.         /// <summary>  
  4.         /// 建立登陸用戶的票據信息  
  5.         /// </summary>  
  6.         /// <param name="strUserName"></param>  
  7.         internal void CreateLoginUserTicket(string strUserName, string strPassword)  
  8.         {  
  9.             //構造Form驗證的票據信息  
  10.             FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1, strUserName, DateTime.Now, DateTime.Now.AddMinutes(90),  
  11.                 true, string.Format("{0}:{1}", strUserName, strPassword), FormsAuthentication.FormsCookiePath);  
  12.   
  13.             string ticString = FormsAuthentication.Encrypt(ticket);  
  14.   
  15.             //把票據信息寫入Cookie和Session  
  16.             //SetAuthCookie方法用於標識用戶的Identity狀態爲true  
  17.             HttpContext.Current.Response.Cookies.Add(new HttpCookie(FormsAuthentication.FormsCookieName, ticString));  
  18.             FormsAuthentication.SetAuthCookie(strUserName, true);  
  19.             HttpContext.Current.Session["USER_LOGON_TICKET"] = ticString;  
  20.               
  21.             //重寫HttpContext中的用戶身份，能夠封裝自定義角色數據；  
  22.             //判斷是否合法用戶，能夠檢查：HttpContext.User.Identity.IsAuthenticated的屬性值  
  23.             string[] roles = ticket.UserData.Split(',');  
  24.             IIdentity identity = new FormsIdentity(ticket);  
  25.             IPrincipal principal = new GenericPrincipal(identity, roles);  
  26.             HttpContext.Current.User = principal;  
  27.         }  
  28.   
  29.         /// <summary>  
  30.         /// 獲取用戶權限列表數據  
  31.         /// </summary>  
  32.         /// <param name="userName"></param>  
  33.         /// <returns></returns>  
  34.         internal string GetUserAuthorities(string userName)  
  35.         {  
  36.             //從WebApi 訪問用戶權限數據，而後寫入Session  
  37.             string jsonAuth = "[{\"Controller\": \"SampleController\", \"Actions\":\"Apply,Process,Complete\"}, {\"Controller\": \"Product\", \"Actions\": \"List,Get,Detail\"}]";  
  38.             var userAuthList = ServiceStack.Text.JsonSerializer.DeserializeFromString(jsonAuth, typeof(UserAuthModel[]));  
  39.             HttpContext.Current.Session["USER_AUTHORITIES"] = userAuthList;  
  40.   
  41.             return jsonAuth;  
  42.         }  
  43.   
  44.         /// <summary>  
  45.         /// 讀取數據庫用戶表數據，判斷用戶密碼是否匹配  
  46.         /// </summary>  
  47.         /// <param name="name"></param>  
  48.         /// <param name="password"></param>  
  49.         /// <returns></returns>  
  50.         internal bool ValidateUserLogin(string name, string password)  
  51.         {  
  52.             //bool isValid = password == passwordInDatabase;  
  53.             return true;  
  54.         }  
  55.   
  56.         /// <summary>  
  57.         /// 用戶註銷執行的操做  
  58.         /// </summary>  
  59.         internal void Logout()  
  60.         {  
  61.             FormsAuthentication.SignOut();  
  62.         }  
  63.     }</span>  



4.3 控制器基類WebControllerBase

[csharp]  view plain copy
 
  1. <span style="font-size: 14px;">/// <summary>  
  2.     /// 前端Mvc控制器基類  
  3.     /// </summary>  
  4.     [Authorize]  
  5.     public abstract class WebControllerBase : Controller  
  6.     {  
  7.         /// <summary>  
  8.         /// 對應api的Url  
  9.         /// </summary>  
  10.         public string ApiUrl  
  11.         {  
  12.             get;  
  13.             protected set;  
  14.         }  
  15.   
  16.         /// <summary>  
  17.         /// 用戶權限列表  
  18.         /// </summary>  
  19.         public UserAuthModel[] UserAuthList  
  20.         {  
  21.             get  
  22.             {  
  23.                 return AuthorizedUser.Current.UserAuthList;  
  24.             }  
  25.         }  
  26.   
  27.         /// <summary>  
  28.         /// 登陸用戶票據  
  29.         /// </summary>  
  30.         public string UserLoginTicket  
  31.         {  
  32.             get  
  33.             {  
  34.                 return AuthorizedUser.Current.UserLoginTicket;  
  35.             }  
  36.         }  
  37.     }</span>  
[csharp]  view plain copy
 
  1. <span style="font-size:14px;">/// <summary>  
  2.     /// 前端Mvc控制器基類  
  3.     /// </summary>  
  4.     [Authorize]  
  5.     public abstract class WebControllerBase : Controller  
  6.     {  
  7.         /// <summary>  
  8.         /// 對應api的Url  
  9.         /// </summary>  
  10.         public string ApiUrl  
  11.         {  
  12.             get;  
  13.             protected set;  
  14.         }  
  15.   
  16.         /// <summary>  
  17.         /// 用戶權限列表  
  18.         /// </summary>  
  19.         public UserAuthModel[] UserAuthList  
  20.         {  
  21.             get  
  22.             {  
  23.                 return AuthorizedUser.Current.UserAuthList;  
  24.             }  
  25.         }  
  26.   
  27.         /// <summary>  
  28.         /// 登陸用戶票據  
  29.         /// </summary>  
  30.         public string UserLoginTicket  
  31.         {  
  32.             get  
  33.             {  
  34.                 return AuthorizedUser.Current.UserLoginTicket;  
  35.             }  
  36.         }  
  37.     }</span>  

 

4.4 權限屬性RequireAuthorizationAttribute

[csharp]  view plain copy
 
  1. <span style="font-size: 14px;">/// <summary>  
  2.     /// 權限驗證屬性類  
  3.     /// </summary>  
  4.     public class RequireAuthorizeAttribute : AuthorizeAttribute  
  5.     {  
  6.         /// <summary>  
  7.         /// 用戶權限列表  
  8.         /// </summary>  
  9.         public UserAuthModel[] UserAuthList  
  10.         {  
  11.             get  
  12.             {  
  13.                 return AuthorizedUser.Current.UserAuthList;  
  14.             }  
  15.         }  
  16.   
  17.         /// <summary>  
  18.         /// 登陸用戶票據  
  19.         /// </summary>  
  20.         public string UserLoginTicket  
  21.         {  
  22.             get  
  23.             {  
  24.                 return AuthorizedUser.Current.UserLoginTicket;  
  25.             }  
  26.         }  
  27.   
  28.         public override void OnAuthorization(AuthorizationContext filterContext)  
  29.         {  
  30.             base.OnAuthorization(filterContext);  
  31.   
  32.             ////驗證是不是登陸用戶  
  33.             var identity = filterContext.HttpContext.User.Identity;  
  34.             if (identity.IsAuthenticated)  
  35.             {  
  36.                 var actionName = filterContext.ActionDescriptor.ActionName;  
  37.                 var controllerName = filterContext.ActionDescriptor.ControllerDescriptor.ControllerName;  
  38.   
  39.                 //驗證用戶操做是否在權限列表中  
  40.                 if (HasActionQulification(actionName, controllerName, identity.Name))  
  41.                     if (!string.IsNullOrEmpty(UserLoginTicket))  
  42.                         //有效登陸用戶，有權限訪問此Action，則寫入Cookie信息  
  43.                         filterContext.HttpContext.Response.Cookies[FormsAuthentication.FormsCookieName].Value = UserLoginTicket;  
  44.                     else  
  45.                         //用戶的Session, Cookie都過時，須要從新登陸  
  46.                         filterContext.HttpContext.Response.Redirect("~/Account/Login", false);  
  47.                 else  
  48.                     //雖然是登陸用戶，但沒有該Action的權限，跳轉到「未受權訪問」頁面  
  49.                     filterContext.HttpContext.Response.Redirect("~/Home/UnAuthorized", true);  
  50.             }  
  51.             else  
  52.             {  
  53.                 //未登陸用戶，則判斷是不是匿名訪問  
  54.                 var attr = filterContext.ActionDescriptor.GetCustomAttributes(true).OfType<AllowAnonymousAttribute>();  
  55.                 bool isAnonymous = attr.Any(a => a is AllowAnonymousAttribute);  
  56.   
  57.                 if (!isAnonymous)  
  58.                     //未驗證（登陸）的用戶, 並且是非匿名訪問，則轉向登陸頁面  
  59.                     filterContext.HttpContext.Response.Redirect("~/Account/Login", true);  
  60.             }  
  61.         }  
  62.   
  63.         /// <summary>  
  64.         /// 從權限列表驗證用戶是否有權訪問Action  
  65.         /// </summary>  
  66.         /// <param name="actionName"></param>  
  67.         /// <param name="controllerName"></param>  
  68.         /// <returns></returns>  
  69.         private bool HasActionQulification(string actionName, string controllerName, string userName)  
  70.         {  
  71.             //從該用戶的權限數據列表中查找是否有當前Controller和Action的item  
  72.             var auth = UserAuthList.FirstOrDefault(a =>  
  73.             {  
  74.                 bool rightAction = false;  
  75.                 bool rightController = a.Controller == controllerName;  
  76.                 if (rightController)  
  77.                 {  
  78.                     string[] actions = a.Actions.Split(',');  
  79.                     rightAction = actions.Contains(actionName);  
  80.                 }  
  81.                 return rightAction;  
  82.             });  
  83.   
  84.             //此處能夠校驗用戶的其它權限條件  
  85.             //var notAllowed = HasOtherLimition(userName);  
  86.             //var result = (auth != null) && notAllowed;  
  87.             //return result;  
  88.   
  89.             return (auth != null);  
  90.         }  
  91.     }</span>  
[csharp]  view plain copy
 
  1. <span style="font-size:14px;">/// <summary>  
  2.     /// 權限驗證屬性類  
  3.     /// </summary>  
  4.     public class RequireAuthorizeAttribute : AuthorizeAttribute  
  5.     {  
  6.         /// <summary>  
  7.         /// 用戶權限列表  
  8.         /// </summary>  
  9.         public UserAuthModel[] UserAuthList  
  10.         {  
  11.             get  
  12.             {  
  13.                 return AuthorizedUser.Current.UserAuthList;  
  14.             }  
  15.         }  
  16.   
  17.         /// <summary>  
  18.         /// 登陸用戶票據  
  19.         /// </summary>  
  20.         public string UserLoginTicket  
  21.         {  
  22.             get  
  23.             {  
  24.                 return AuthorizedUser.Current.UserLoginTicket;  
  25.             }  
  26.         }  
  27.   
  28.         public override void OnAuthorization(AuthorizationContext filterContext)  
  29.         {  
  30.             base.OnAuthorization(filterContext);  
  31.   
  32.             ////驗證是不是登陸用戶  
  33.             var identity = filterContext.HttpContext.User.Identity;  
  34.             if (identity.IsAuthenticated)  
  35.             {  
  36.                 var actionName = filterContext.ActionDescriptor.ActionName;  
  37.                 var controllerName = filterContext.ActionDescriptor.ControllerDescriptor.ControllerName;  
  38.   
  39.                 //驗證用戶操做是否在權限列表中  
  40.                 if (HasActionQulification(actionName, controllerName, identity.Name))  
  41.                     if (!string.IsNullOrEmpty(UserLoginTicket))  
  42.                         //有效登陸用戶，有權限訪問此Action，則寫入Cookie信息  
  43.                         filterContext.HttpContext.Response.Cookies[FormsAuthentication.FormsCookieName].Value = UserLoginTicket;  
  44.                     else  
  45.                         //用戶的Session, Cookie都過時，須要從新登陸  
  46.                         filterContext.HttpContext.Response.Redirect("~/Account/Login", false);  
  47.                 else  
  48.                     //雖然是登陸用戶，但沒有該Action的權限，跳轉到「未受權訪問」頁面  
  49.                     filterContext.HttpContext.Response.Redirect("~/Home/UnAuthorized", true);  
  50.             }  
  51.             else  
  52.             {  
  53.                 //未登陸用戶，則判斷是不是匿名訪問  
  54.                 var attr = filterContext.ActionDescriptor.GetCustomAttributes(true).OfType<AllowAnonymousAttribute>();  
  55.                 bool isAnonymous = attr.Any(a => a is AllowAnonymousAttribute);  
  56.   
  57.                 if (!isAnonymous)  
  58.                     //未驗證（登陸）的用戶, 並且是非匿名訪問，則轉向登陸頁面  
  59.                     filterContext.HttpContext.Response.Redirect("~/Account/Login", true);  
  60.             }  
  61.         }  
  62.   
  63.         /// <summary>  
  64.         /// 從權限列表驗證用戶是否有權訪問Action  
  65.         /// </summary>  
  66.         /// <param name="actionName"></param>  
  67.         /// <param name="controllerName"></param>  
  68.         /// <returns></returns>  
  69.         private bool HasActionQulification(string actionName, string controllerName, string userName)  
  70.         {  
  71.             //從該用戶的權限數據列表中查找是否有當前Controller和Action的item  
  72.             var auth = UserAuthList.FirstOrDefault(a =>  
  73.             {  
  74.                 bool rightAction = false;  
  75.                 bool rightController = a.Controller == controllerName;  
  76.                 if (rightController)  
  77.                 {  
  78.                     string[] actions = a.Actions.Split(',');  
  79.                     rightAction = actions.Contains(actionName);  
  80.                 }  
  81.                 return rightAction;  
  82.             });  
  83.   
  84.             //此處能夠校驗用戶的其它權限條件  
  85.             //var notAllowed = HasOtherLimition(userName);  
  86.             //var result = (auth != null) && notAllowed;  
  87.             //return result;  
  88.   
  89.             return (auth != null);  
  90.         }  
  91.     }</span>  

 

4.5 業務Controller示例

[csharp]  view plain copy
 
  1. <span style="font-size: 14px;">
  2. public class ProductController : WebControllerBase  
  3. {  
  4.   
  5.         [AllowAnonymous]  
  6.         public ActionResult Query()  
  7.         {  
  8.             return View("ProductQuery");  
  9.         }  
  10.   
  11.         [HttpGet]  
  12.         //[AllowAnonymous]  
  13.         [RequireAuthorize]  
  14.         public ActionResult Detail(string id)  
  15.         {  
  16.             var cookie = HttpContext.Request.Cookies;  
  17.             string url = base.ApiUrl + "/Get/" + id;  
  18.             HttpClient httpClient = HttpClientHelper.Create(url, base.UserLoginTicket);  
  19.               
  20.             string result = httpClient.GetString();  
  21.             var model = JsonSerializer.DeserializeFromString<Product>(result);  
  22.             ViewData["PRODUCT_ADD_OR_EDIT"] = "E";  
  23.             return View("ProductForm", model);  
  24.         }  
  25. }</span>  
[csharp]  view plain copy
 
  1. <span style="font-size:14px;">public class ProductController : WebControllerBase  
  2. {  
  3.   
  4.         [AllowAnonymous]  
  5.         public ActionResult Query()  
  6.         {  
  7.             return View("ProductQuery");  
  8.         }  
  9.   
  10.         [HttpGet]  
  11.         //[AllowAnonymous]  
  12.         [RequireAuthorize]  
  13.         public ActionResult Detail(string id)  
  14.         {  
  15.             var cookie = HttpContext.Request.Cookies;  
  16.             string url = base.ApiUrl + "/Get/" + id;  
  17.             HttpClient httpClient = HttpClientHelper.Create(url, base.UserLoginTicket);  
  18.               
  19.             string result = httpClient.GetString();  
  20.             var model = JsonSerializer.DeserializeFromString<Product>(result);  
  21.             ViewData["PRODUCT_ADD_OR_EDIT"] = "E";  
  22.             return View("ProductForm", model);  
  23.         }  
  24. }</span>  



5.  WebApi 服務端代碼示例

5.1 控制器基類ApiControllerBase

[csharp]  view plain copy
 
  1. /// <summary>  
  2. /// Controller的基類，用於實現適合業務場景的基礎功能  
  3. /// </summary>  
  4. /// <typeparam name="T"></typeparam>  
  5. [BasicAuthentication]  
  6. public abstract class ApiControllerBase : ApiController  
  7. {  
  8.   
  9. }  
[csharp]  view plain copy
 
  1. /// <summary>  
  2. /// Controller的基類，用於實現適合業務場景的基礎功能  
  3. /// </summary>  
  4. /// <typeparam name="T"></typeparam>  
  5. [BasicAuthentication]  
  6. public abstract class ApiControllerBase : ApiController  
  7. {  
  8.   
  9. }  

 

 

5.2 權限屬性BaseAuthenticationAttribute

[csharp]  view plain copy
 
  1. /// <summary>  
  2.     /// 基本驗證Attribtue，用以Action的權限處理  
  3.     /// </summary>  
  4.     public class BasicAuthenticationAttribute : ActionFilterAttribute  
  5.     {  
  6.         /// <summary>  
  7.         /// 檢查用戶是否有該Action執行的操做權限  
  8.         /// </summary>  
  9.         /// <param name="actionContext"></param>  
  10.         public override void OnActionExecuting(HttpActionContext actionContext)  
  11.         {  
  12.             //檢驗用戶ticket信息，用戶ticket信息來自調用發起方  
  13.             if (actionContext.Request.Headers.Authorization != null)  
  14.             {  
  15.                 //解密用戶ticket,並校驗用戶名密碼是否匹配  
  16.                 var encryptTicket = actionContext.Request.Headers.Authorization.Parameter;  
  17.                 if (ValidateUserTicket(encryptTicket))  
  18.                     base.OnActionExecuting(actionContext);  
  19.                 else  
  20.                     actionContext.Response = new HttpResponseMessage(HttpStatusCode.Unauthorized);                     
  21.             }  
  22.             else  
  23.             {  
  24.                 //檢查web.config配置是否要求權限校驗  
  25.                 bool isRquired = (WebConfigurationManager.AppSettings["WebApiAuthenticatedFlag"].ToString() == "true");  
  26.                 if (isRquired)  
  27.                 {  
  28.                     //若是請求Header不包含ticket，則判斷是不是匿名調用  
  29.                     var attr = actionContext.ActionDescriptor.GetCustomAttributes<AllowAnonymousAttribute>().OfType<AllowAnonymousAttribute>();  
  30.                     bool isAnonymous = attr.Any(a => a is AllowAnonymousAttribute);  
  31.   
  32.                     //是匿名用戶，則繼續執行；非匿名用戶，拋出「未受權訪問」信息  
  33.                     if (isAnonymous)  
  34.                         base.OnActionExecuting(actionContext);  
  35.                     else  
  36.                         actionContext.Response = new HttpResponseMessage(HttpStatusCode.Unauthorized);  
  37.                 }  
  38.                 else  
  39.                 {  
  40.                     base.OnActionExecuting(actionContext);  
  41.                 }  
  42.             }  
  43.         }  
  44.   
  45.         /// <summary>  
  46.         /// 校驗用戶ticket信息  
  47.         /// </summary>  
  48.         /// <param name="encryptTicket"></param>  
  49.         /// <returns></returns>  
  50.         private bool ValidateUserTicket(string encryptTicket)  
  51.         {  
  52.             var userTicket = FormsAuthentication.Decrypt(encryptTicket);  
  53.             var userTicketData = userTicket.UserData;  
  54.   
  55.             string userName = userTicketData.Substring(0, userTicketData.IndexOf(":"));  
  56.             string password = userTicketData.Substring(userTicketData.IndexOf(":") + 1);  
  57.   
  58.             //檢查用戶名、密碼是否正確，驗證是合法用戶  
  59.             //var isQuilified = CheckUser(userName, password);  
  60.             return true;  
  61.         }  
  62.     }  
[csharp]  view plain copy
 
  1. /// <summary>  
  2.     /// 基本驗證Attribtue，用以Action的權限處理  
  3.     /// </summary>  
  4.     public class BasicAuthenticationAttribute : ActionFilterAttribute  
  5.     {  
  6.         /// <summary>  
  7.         /// 檢查用戶是否有該Action執行的操做權限  
  8.         /// </summary>  
  9.         /// <param name="actionContext"></param>  
  10.         public override void OnActionExecuting(HttpActionContext actionContext)  
  11.         {  
  12.             //檢驗用戶ticket信息，用戶ticket信息來自調用發起方  
  13.             if (actionContext.Request.Headers.Authorization != null)  
  14.             {  
  15.                 //解密用戶ticket,並校驗用戶名密碼是否匹配  
  16.                 var encryptTicket = actionContext.Request.Headers.Authorization.Parameter;  
  17.                 if (ValidateUserTicket(encryptTicket))  
  18.                     base.OnActionExecuting(actionContext);  
  19.                 else  
  20.                     actionContext.Response = new HttpResponseMessage(HttpStatusCode.Unauthorized);                     
  21.             }  
  22.             else  
  23.             {  
  24.                 //檢查web.config配置是否要求權限校驗  
  25.                 bool isRquired = (WebConfigurationManager.AppSettings["WebApiAuthenticatedFlag"].ToString() == "true");  
  26.                 if (isRquired)  
  27.                 {  
  28.                     //若是請求Header不包含ticket，則判斷是不是匿名調用  
  29.                     var attr = actionContext.ActionDescriptor.GetCustomAttributes<AllowAnonymousAttribute>().OfType<AllowAnonymousAttribute>();  
  30.                     bool isAnonymous = attr.Any(a => a is AllowAnonymousAttribute);  
  31.   
  32.                     //是匿名用戶，則繼續執行；非匿名用戶，拋出「未受權訪問」信息  
  33.                     if (isAnonymous)  
  34.                         base.OnActionExecuting(actionContext);  
  35.                     else  
  36.                         actionContext.Response = new HttpResponseMessage(HttpStatusCode.Unauthorized);  
  37.                 }  
  38.                 else  
  39.                 {  
  40.                     base.OnActionExecuting(actionContext);  
  41.                 }  
  42.             }  
  43.         }  
  44.   
  45.         /// <summary>  
  46.         /// 校驗用戶ticket信息  
  47.         /// </summary>  
  48.         /// <param name="encryptTicket"></param>  
  49.         /// <returns></returns>  
  50.         private bool ValidateUserTicket(string encryptTicket)  
  51.         {  
  52.             var userTicket = FormsAuthentication.Decrypt(encryptTicket);  
  53.             var userTicketData = userTicket.UserData;  
  54.   
  55.             string userName = userTicketData.Substring(0, userTicketData.IndexOf(":"));  
  56.             string password = userTicketData.Substring(userTicketData.IndexOf(":") + 1);  
  57.   
  58.             //檢查用戶名、密碼是否正確，驗證是合法用戶  
  59.             //var isQuilified = CheckUser(userName, password);  
  60.             return true;  
  61.         }  
  62.     }  

 

5.3 api服務Controller實例

[csharp]  view plain copy
 
  1. public class ProductController : ApiControllerBase  
  2. {  
  3.   
  4.         [HttpGet]  
  5.         public object Find(string id)  
  6.         {  
  7.             return ProductServiceInstance.Find(2);  
  8.         }  
  9.   
  10.      // GET api/product/5  
  11.         [HttpGet]  
  12.         [AllowAnonymous]  
  13.         public Product Get(string id)  
  14.         {  
  15.             var headers = Request.Headers;  
  16.             var p = ProductServiceInstance.GetById<Product, EPProduct>(long.Parse(id));  
  17.             if (p == null)  
  18.             {  
  19.                   throw new HttpResponseException(new HttpResponseMessage(HttpStatusCode.BadRequest)  
  20.                   Content = new StringContent("id3 not found"), ReasonPhrase = "product id not exist." });  
  21.             }  
  22.             return p;  
  23.         }  
  24. }  
[csharp]  view plain copy
 
  1. public class ProductController : ApiControllerBase  
  2. {  
  3.   
  4.         [HttpGet]  
  5.         public object Find(string id)  
  6.         {  
  7.             return ProductServiceInstance.Find(2);  
  8.         }  
  9.   
  10.      // GET api/product/5  
  11.         [HttpGet]  
  12.         [AllowAnonymous]  
  13.         public Product Get(string id)  
  14.         {  
  15.             var headers = Request.Headers;  
  16.             var p = ProductServiceInstance.GetById<Product, EPProduct>(long.Parse(id));  
  17.             if (p == null)  
  18.             {  
  19.                   throw new HttpResponseException(new HttpResponseMessage(HttpStatusCode.BadRequest)  
  20.                   Content = new StringContent("id3 not found"), ReasonPhrase = "product id not exist." });  
  21.             }  
  22.             return p;  
  23.         }  
  24. }  



6. 其它配置說明

6.1 Mvc前端Web.Config 配置

[html]  view plain copy
 
  1. <system.web>  
  2.     <compilation debug="true" targetFramework="4.5">  
  3.       <assemblies>  
  4.         <add assembly="System.Web.Http.Data.Helpers, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" />  
  5.       </assemblies>  
  6.     </compilation>  
  7.     <httpRuntime targetFramework="4.5" />  
  8.     <authentication mode="Forms">  
  9.       <forms loginUrl="~/Account/Login" defaultUrl="~/Home/Index" protection="All" timeout="90" name=".AuthCookie"></forms>  
  10.     </authentication>  
  11.     <machineKey validationKey="3FFA12388DDF585BA5D35E7BC87E3F0AB47FBBEBD12240DD3BEA2BEAEC4ABA213F22AD27E8FAD77DCFEE306219691434908D193A17C1FC8DCE51B71A4AE54920" decryptionKey="ECB6A3AF9ABBF3F16E80685ED68DC74B0B13CCEE538EBBA97D0B893139683B3B" validation="SHA1" decryption="AES" />  
  12. </system.web>  
[html]  view plain copy
 
  1. <system.web>  
  2.     <compilation debug="true" targetFramework="4.5">  
  3.       <assemblies>  
  4.         <add assembly="System.Web.Http.Data.Helpers, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" />  
  5.       </assemblies>  
  6.     </compilation>  
  7.     <httpRuntime targetFramework="4.5" />  
  8.     <authentication mode="Forms">  
  9.       <forms loginUrl="~/Account/Login" defaultUrl="~/Home/Index" protection="All" timeout="90" name=".AuthCookie"></forms>  
  10.     </authentication>  
  11.     <machineKey validationKey="3FFA12388DDF585BA5D35E7BC87E3F0AB47FBBEBD12240DD3BEA2BEAEC4ABA213F22AD27E8FAD77DCFEE306219691434908D193A17C1FC8DCE51B71A4AE54920" decryptionKey="ECB6A3AF9ABBF3F16E80685ED68DC74B0B13CCEE538EBBA97D0B893139683B3B" validation="SHA1" decryption="AES" />  
  12. </system.web>  


machineKey節點配置，是應用於對用戶ticket數據加密和解密。

6.2 WebApi服務端Web.Config配置

[html]  view plain copy
 
  1.  <system.web>  
  2.     <machineKey validationKey="3FF112388DDF585BA5D35E7BC87E3F0AB47FBBEBD12240DD3BEA2BEAEC4ABA213F22AD27E8FAD77DCFEE306219691434908D193A17C1FC8DCE51B71A4AE54920" decryptionKey="ECB6A3AF9ABBF3F16E80685ED68DC74B0B13CCEE538EBBA97D0B893139683B3B" validation="SHA1" decryption="AES" />  
  3. </system.web>  
[html]  view plain copy
 
  1.  <system.web>  
  2.     <machineKey validationKey="3FF112388DDF585BA5D35E7BC87E3F0AB47FBBEBD12240DD3BEA2BEAEC4ABA213F22AD27E8FAD77DCFEE306219691434908D193A17C1FC8DCE51B71A4AE54920" decryptionKey="ECB6A3AF9ABBF3F16E80685ED68DC74B0B13CCEE538EBBA97D0B893139683B3B" validation="SHA1" decryption="AES" />  
  3. </system.web>  


machineKey節點配置，是應用於對用戶ticket數據加密和解密。

7. 總結

Web系統的用戶登陸及頁面操做權限驗證在處理邏輯上比較複雜，須要考慮到Form認證、匿名訪問，Session和Cookie存儲，以及Session和Cookie的過時處理，本文實現了整個權限驗證框架的基本功能，供系統架構設計人員以及Web開發人員參考。

相關文章
相關標籤/搜索
每日一句
    每一个你不满意的现在，都有一个你没有努力的曾经。
本站公眾號
   歡迎關注本站公眾號,獲取更多信息
聯繫我們 最近搜索 最新文章 沪ICP备13005482号-10 MyBatis教程 SQL 教程 MySQL教程 Java 教程 Thymeleaf 教程 Hibernate教程 Spring教程 Redis教程