前言：Web 用户的身份验证，及页面操作权限验证是B/S系统的基础功能，一个功能复杂的业务应用系统，通过角色授权来控制用户访问，本文通过Form认证，Mvc的Controller基类及Action的权限验证来实现Web系统登录，Mvc前端权限校验以及WebApi服务端的访问校验功能。

1. Web Form认证介绍

Web应用的访问方式因为是基于浏览器的Http地址请求，所以需要验证用户身份的合法性。目前常见的方式是Form认证，其处理逻辑描述如下：
1. 用户首先要在登录页面输入用户名和密码，然后登录系统，获取合法身份的票据，再执行后续业务处理操作；
2. 用户在没有登录的情况下提交Http页面访问请求，如果该页面不允许匿名访问，则直接跳转到登录页面；
3. 对于允许匿名访问的页面请求，系统不做权限验证，直接处理业务数据，并返回给前端；
4. 对于不同权限要求的页面Action操作，系统需要校验用户角色，计算权限列表，如果请求操作在权限列表中，则正常访问，如果不在权限列表中，则提示“未授权的访问操作”到异常处理页面。

2. WebApi 服务端Basic 方式验证

WebApi服务端接收访问请求，需要做安全验证处理，验证处理步骤如下：
1. 如果是合法的Http请求，在Http请求头中会有用户身份的票据信息，服务端会读取票据信息，并校验票据信息是否完整有效，如果满足校验要求，则进行业务数据的处理，并返回给请求发起方；
2. 如果没有票据信息，或者票据信息不是合法的，则返回“未授权的访问”异常消息给前端，由前端处理此异常。

3. 登录及权限验证流程

流程处理步骤说明：
1. 用户打开浏览器，并在地址栏中输入页面请求地址，提交；
2. 浏览器解析Http请求，发送到Web服务器；Web服务器验证用户请求，首先判断是否有登录的票据信息；
3. 用户没有登录票据信息，则跳转到登录页面；
4. 用户输入用户名和密码信息；
5. 浏览器提交登录表单数据给Web服务器；
6. Web服务需要验证用户名和密码是否匹配，发送api请求给api服务器；
7. api用户账户服务根据用户名，读取存储在数据库中的用户资料，判断密码是否匹配；
1）如果用户名和密码不匹配，则提示密码错误等信息，然该用户重新填写登录资料；
2）如果验证通过，则保存用户票据信息；
8. 接第3步，如果用户有登录票据信息，则跳转到用户请求的页面；
9. 验证用户对当前要操作的页面或页面元素是否有权限操作，首先需要发起api服务请求，获取用户的权限数据；
10. api用户权限服务根据用户名，查找该用户的角色信息，并计算用户权限列表，封装为Json数据并返回；
11. 当用户有权限操作页面或页面元素时，跳转到页面，并由页面Controller提交业务数据处理请求到api服务器；
   如果用户没有权限访问该页面或页面元素时，则显示“未授权的访问操作”，跳转到系统异常处理页面。
12. api业务服务处理业务逻辑，并将结果以Json 数据返回；
13. 返回渲染后的页面给浏览器前端，并呈现业务数据到页面；
14. 用户填写业务数据，或者查找业务数据；
15. 当填写或查找完业务数据后，用户提交表单数据；
16. 浏览器脚本提交get，post等请求给web服务器，由web服务器再次解析请求操作，重复步骤2的后续流程；
17. 当api服务器验证用户身份是，没有可信用户票据，系统提示“未授权的访问操作”，跳转到系统异常处理页面。

4. Mvc前端代码示例

4.1 用户登录AccountController

[csharp] view plaincopy
  1. <span style="font-size: 18px;"> </span><span style="font-size: 14px;">
  2. public class AccountController : Controller
  3. {
  4. //
  5. // GET: /Logon/
  6. public ActionResult Login(string returnUrl)
  7. {
  8. ViewBag.ReturnUrl = returnUrl;
  9. return View();
  10. }
  11. [HttpPost]
  12. public ActionResult Logon(LoginUser loginUser, string returnUrl)
  13. {
  14. string strUserName = loginUser.UserName;
  15. string strPassword = loginUser.Password;
  16. var accountModel = new AccountModel();
  17. //验证用户是否是系统注册用户
  18. if (accountModel.ValidateUserLogin(strUserName, strPassword))
  19. {
  20. if (Url.IsLocalUrl(returnUrl))
  21. {
  22. //创建用户ticket信息
  23. accountModel.CreateLoginUserTicket(strUserName, strPassword);
  24. //读取用户权限数据
  25. accountModel.GetUserAuthorities(strUserName);
  26. return new RedirectResult(returnUrl);
  27. }
  28. else
  29. {
  30. return RedirectToAction("Index", "Home");
  31. }
  32. }
  33. else
  34. {
  35. throw new ApplicationException("无效登录用户！");
  36. }
  37. }
  38. /// <summary>
  39. /// 用户注销，注销之前，清除用户ticket
  40. /// </summary>
  41. /// <returns></returns>
  42. [HttpPost]
  43. public ActionResult Logout()
  44. {
  45. var accountModel = new AccountModel();
  46. accountModel.Logout();
  47. return RedirectToAction("Login", "Account");
  48. }
  49. }</span>
[csharp] view plaincopy
  1. <span style="font-size:18px;"> </span><span style="font-size:14px;">public class AccountController : Controller
  2. {
  3. //
  4. // GET: /Logon/
  5. public ActionResult Login(string returnUrl)
  6. {
  7. ViewBag.ReturnUrl = returnUrl;
  8. return View();
  9. }
  10. [HttpPost]
  11. public ActionResult Logon(LoginUser loginUser, string returnUrl)
  12. {
  13. string strUserName = loginUser.UserName;
  14. string strPassword = loginUser.Password;
  15. var accountModel = new AccountModel();
  16. //验证用户是否是系统注册用户
  17. if (accountModel.ValidateUserLogin(strUserName, strPassword))
  18. {
  19. if (Url.IsLocalUrl(returnUrl))
  20. {
  21. //创建用户ticket信息
  22. accountModel.CreateLoginUserTicket(strUserName, strPassword);
  23. //读取用户权限数据
  24. accountModel.GetUserAuthorities(strUserName);
  25. return new RedirectResult(returnUrl);
  26. }
  27. else
  28. {
  29. return RedirectToAction("Index", "Home");
  30. }
  31. }
  32. else
  33. {
  34. throw new ApplicationException("无效登录用户！");
  35. }
  36. }
  37. /// <summary>
  38. /// 用户注销，注销之前，清除用户ticket
  39. /// </summary>
  40. /// <returns></returns>
  41. [HttpPost]
  42. public ActionResult Logout()
  43. {
  44. var accountModel = new AccountModel();
  45. accountModel.Logout();
  46. return RedirectToAction("Login", "Account");
  47. }
  48. }</span>

4.2 用户模型AccountModel

[csharp] view plaincopy
  1. <span style="font-size: 14px;">
  2. public class AccountModel
  3. {
  4. /// <summary>
  5. /// 创建登录用户的票据信息
  6. /// </summary>
  7. /// <param name="strUserName"></param>
  8. internal void CreateLoginUserTicket(string strUserName, string strPassword)
  9. {
  10. //构造Form验证的票据信息
  11. FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1, strUserName, DateTime.Now, DateTime.Now.AddMinutes(90),
  12. true, string.Format("{0}:{1}", strUserName, strPassword), FormsAuthentication.FormsCookiePath);
  13. string ticString = FormsAuthentication.Encrypt(ticket);
  14. //把票据信息写入Cookie和Session
  15. //SetAuthCookie方法用于标识用户的Identity状态为true
  16. HttpContext.Current.Response.Cookies.Add(new HttpCookie(FormsAuthentication.FormsCookieName, ticString));
  17. FormsAuthentication.SetAuthCookie(strUserName, true);
  18. HttpContext.Current.Session["USER_LOGON_TICKET"] = ticString;
  19. //重写HttpContext中的用户身份，可以封装自定义角色数据；
  20. //判断是否合法用户，可以检查：HttpContext.User.Identity.IsAuthenticated的属性值
  21. string[] roles = ticket.UserData.Split(',');
  22. IIdentity identity = new FormsIdentity(ticket);
  23. IPrincipal principal = new GenericPrincipal(identity, roles);
  24. HttpContext.Current.User = principal;
  25. }
  26. /// <summary>
  27. /// 获取用户权限列表数据
  28. /// </summary>
  29. /// <param name="userName"></param>
  30. /// <returns></returns>
  31. internal string GetUserAuthorities(string userName)
  32. {
  33. //从WebApi 访问用户权限数据，然后写入Session
  34. string jsonAuth = "[{\"Controller\": \"SampleController\", \"Actions\":\"Apply,Process,Complete\"}, {\"Controller\": \"Product\", \"Actions\": \"List,Get,Detail\"}]";
  35. var userAuthList = ServiceStack.Text.JsonSerializer.DeserializeFromString(jsonAuth, typeof(UserAuthModel[]));
  36. HttpContext.Current.Session["USER_AUTHORITIES"] = userAuthList;
  37. return jsonAuth;
  38. }
  39. /// <summary>
  40. /// 读取数据库用户表数据，判断用户密码是否匹配
  41. /// </summary>
  42. /// <param name="name"></param>
  43. /// <param name="password"></param>
  44. /// <returns></returns>
  45. internal bool ValidateUserLogin(string name, string password)
  46. {
  47. //bool isValid = password == passwordInDatabase;
  48. return true;
  49. }
  50. /// <summary>
  51. /// 用户注销执行的操作
  52. /// </summary>
  53. internal void Logout()
  54. {
  55. FormsAuthentication.SignOut();
  56. }
  57. }</span>
[csharp] view plaincopy
  1. <span style="font-size:14px;">public class AccountModel
  2. {
  3. /// <summary>
  4. /// 创建登录用户的票据信息
  5. /// </summary>
  6. /// <param name="strUserName"></param>
  7. internal void CreateLoginUserTicket(string strUserName, string strPassword)
  8. {
  9. //构造Form验证的票据信息
  10. FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(1, strUserName, DateTime.Now, DateTime.Now.AddMinutes(90),
  11. true, string.Format("{0}:{1}", strUserName, strPassword), FormsAuthentication.FormsCookiePath);
  12. string ticString = FormsAuthentication.Encrypt(ticket);
  13. //把票据信息写入Cookie和Session
  14. //SetAuthCookie方法用于标识用户的Identity状态为true
  15. HttpContext.Current.Response.Cookies.Add(new HttpCookie(FormsAuthentication.FormsCookieName, ticString));
  16. FormsAuthentication.SetAuthCookie(strUserName, true);
  17. HttpContext.Current.Session["USER_LOGON_TICKET"] = ticString;
  18. //重写HttpContext中的用户身份，可以封装自定义角色数据；
  19. //判断是否合法用户，可以检查：HttpContext.User.Identity.IsAuthenticated的属性值
  20. string[] roles = ticket.UserData.Split(',');
  21. IIdentity identity = new FormsIdentity(ticket);
  22. IPrincipal principal = new GenericPrincipal(identity, roles);
  23. HttpContext.Current.User = principal;
  24. }
  25. /// <summary>
  26. /// 获取用户权限列表数据
  27. /// </summary>
  28. /// <param name="userName"></param>
  29. /// <returns></returns>
  30. internal string GetUserAuthorities(string userName)
  31. {
  32. //从WebApi 访问用户权限数据，然后写入Session
  33. string jsonAuth = "[{\"Controller\": \"SampleController\", \"Actions\":\"Apply,Process,Complete\"}, {\"Controller\": \"Product\", \"Actions\": \"List,Get,Detail\"}]";
  34. var userAuthList = ServiceStack.Text.JsonSerializer.DeserializeFromString(jsonAuth, typeof(UserAuthModel[]));
  35. HttpContext.Current.Session["USER_AUTHORITIES"] = userAuthList;
  36. return jsonAuth;
  37. }
  38. /// <summary>
  39. /// 读取数据库用户表数据，判断用户密码是否匹配
  40. /// </summary>
  41. /// <param name="name"></param>
  42. /// <param name="password"></param>
  43. /// <returns></returns>
  44. internal bool ValidateUserLogin(string name, string password)
  45. {
  46. //bool isValid = password == passwordInDatabase;
  47. return true;
  48. }
  49. /// <summary>
  50. /// 用户注销执行的操作
  51. /// </summary>
  52. internal void Logout()
  53. {
  54. FormsAuthentication.SignOut();
  55. }
  56. }</span>

4.3 控制器基类WebControllerBase

[csharp] view plaincopy
  1. <span style="font-size: 14px;">/// <summary>
  2. /// 前端Mvc控制器基类
  3. /// </summary>
  4. [Authorize]
  5. public abstract class WebControllerBase : Controller
  6. {
  7. /// <summary>
  8. /// 对应api的Url
  9. /// </summary>
  10. public string ApiUrl
  11. {
  12. get;
  13. protected set;
  14. }
  15. /// <summary>
  16. /// 用户权限列表
  17. /// </summary>
  18. public UserAuthModel[] UserAuthList
  19. {
  20. get
  21. {
  22. return AuthorizedUser.Current.UserAuthList;
  23. }
  24. }
  25. /// <summary>
  26. /// 登录用户票据
  27. /// </summary>
  28. public string UserLoginTicket
  29. {
  30. get
  31. {
  32. return AuthorizedUser.Current.UserLoginTicket;
  33. }
  34. }
  35. }</span>
[csharp] view plaincopy
  1. <span style="font-size:14px;">/// <summary>
  2. /// 前端Mvc控制器基类
  3. /// </summary>
  4. [Authorize]
  5. public abstract class WebControllerBase : Controller
  6. {
  7. /// <summary>
  8. /// 对应api的Url
  9. /// </summary>
  10. public string ApiUrl
  11. {
  12. get;
  13. protected set;
  14. }
  15. /// <summary>
  16. /// 用户权限列表
  17. /// </summary>
  18. public UserAuthModel[] UserAuthList
  19. {
  20. get
  21. {
  22. return AuthorizedUser.Current.UserAuthList;
  23. }
  24. }
  25. /// <summary>
  26. /// 登录用户票据
  27. /// </summary>
  28. public string UserLoginTicket
  29. {
  30. get
  31. {
  32. return AuthorizedUser.Current.UserLoginTicket;
  33. }
  34. }
  35. }</span>

4.4 权限属性RequireAuthorizationAttribute

[csharp] view plaincopy
  1. <span style="font-size: 14px;">/// <summary>
  2. /// 权限验证属性类
  3. /// </summary>
  4. public class RequireAuthorizeAttribute : AuthorizeAttribute
  5. {
  6. /// <summary>
  7. /// 用户权限列表
  8. /// </summary>
  9. public UserAuthModel[] UserAuthList
  10. {
  11. get
  12. {
  13. return AuthorizedUser.Current.UserAuthList;
  14. }
  15. }
  16. /// <summary>
  17. /// 登录用户票据
  18. /// </summary>
  19. public string UserLoginTicket
  20. {
  21. get
  22. {
  23. return AuthorizedUser.Current.UserLoginTicket;
  24. }
  25. }
  26. public override void OnAuthorization(AuthorizationContext filterContext)
  27. {
  28. base.OnAuthorization(filterContext);
  29. 验证是否是登录用户
  30. var identity = filterContext.HttpContext.User.Identity;
  31. if (identity.IsAuthenticated)
  32. {
  33. var actionName = filterContext.ActionDescriptor.ActionName;
  34. var controllerName = filterContext.ActionDescriptor.ControllerDescriptor.ControllerName;
  35. //验证用户操作是否在权限列表中
  36. if (HasActionQulification(actionName, controllerName, identity.Name))
  37. if (!string.IsNullOrEmpty(UserLoginTicket))
  38. //有效登录用户，有权限访问此Action，则写入Cookie信息
  39. filterContext.HttpContext.Response.Cookies[FormsAuthentication.FormsCookieName].Value = UserLoginTicket;
  40. else
  41. //用户的Session, Cookie都过期，需要重新登录
  42. filterContext.HttpContext.Response.Redirect("~/Account/Login", false);
  43. else
  44. //虽然是登录用户，但没有该Action的权限，跳转到“未授权访问”页面
  45. filterContext.HttpContext.Response.Redirect("~/Home/UnAuthorized", true);
  46. }
  47. else
  48. {
  49. //未登录用户，则判断是否是匿名访问
  50. var attr = filterContext.ActionDescriptor.GetCustomAttributes(true).OfType<AllowAnonymousAttribute>();
  51. bool isAnonymous = attr.Any(a => a is AllowAnonymousAttribute);
  52. if (!isAnonymous)
  53. //未验证（登录）的用户, 而且是非匿名访问，则转向登录页面
  54. filterContext.HttpContext.Response.Redirect("~/Account/Login", true);
  55. }
  56. }
  57. /// <summary>
  58. /// 从权限列表验证用户是否有权访问Action
  59. /// </summary>
  60. /// <param name="actionName"></param>
  61. /// <param name="controllerName"></param>
  62. /// <returns></returns>
  63. private bool HasActionQulification(string actionName, string controllerName, string userName)
  64. {
  65. //从该用户的权限数据列表中查找是否有当前Controller和Action的item
  66. var auth = UserAuthList.FirstOrDefault(a =>
  67. {
  68. bool rightAction = false;
  69. bool rightController = a.Controller == controllerName;
  70. if (rightController)
  71. {
  72. string[] actions = a.Actions.Split(',');
  73. rightAction = actions.Contains(actionName);
  74. }
  75. return rightAction;
  76. });
  77. //此处可以校验用户的其它权限条件
  78. //var notAllowed = HasOtherLimition(userName);
  79. //var result = (auth != null) && notAllowed;
  80. //return result;
  81. return (auth != null);
  82. }
  83. }</span>
[csharp] view plaincopy
  1. <span style="font-size:14px;">/// <summary>
  2. /// 权限验证属性类
  3. /// </summary>
  4. public class RequireAuthorizeAttribute : AuthorizeAttribute
  5. {
  6. /// <summary>
  7. /// 用户权限列表
  8. /// </summary>
  9. public UserAuthModel[] UserAuthList
  10. {
  11. get
  12. {
  13. return AuthorizedUser.Current.UserAuthList;
  14. }
  15. }
  16. /// <summary>
  17. /// 登录用户票据
  18. /// </summary>
  19. public string UserLoginTicket
  20. {
  21. get
  22. {
  23. return AuthorizedUser.Current.UserLoginTicket;
  24. }
  25. }
  26. public override void OnAuthorization(AuthorizationContext filterContext)
  27. {
  28. base.OnAuthorization(filterContext);
  29. 验证是否是登录用户
  30. var identity = filterContext.HttpContext.User.Identity;
  31. if (identity.IsAuthenticated)
  32. {
  33. var actionName = filterContext.ActionDescriptor.ActionName;
  34. var controllerName = filterContext.ActionDescriptor.ControllerDescriptor.ControllerName;
  35. //验证用户操作是否在权限列表中
  36. if (HasActionQulification(actionName, controllerName, identity.Name))
  37. if (!string.IsNullOrEmpty(UserLoginTicket))
  38. //有效登录用户，有权限访问此Action，则写入Cookie信息
  39. filterContext.HttpContext.Response.Cookies[FormsAuthentication.FormsCookieName].Value = UserLoginTicket;
  40. else
  41. //用户的Session, Cookie都过期，需要重新登录
  42. filterContext.HttpContext.Response.Redirect("~/Account/Login", false);
  43. else
  44. //虽然是登录用户，但没有该Action的权限，跳转到“未授权访问”页面
  45. filterContext.HttpContext.Response.Redirect("~/Home/UnAuthorized", true);
  46. }
  47. else
  48. {
  49. //未登录用户，则判断是否是匿名访问
  50. var attr = filterContext.ActionDescriptor.GetCustomAttributes(true).OfType<AllowAnonymousAttribute>();
  51. bool isAnonymous = attr.Any(a => a is AllowAnonymousAttribute);
  52. if (!isAnonymous)
  53. //未验证（登录）的用户, 而且是非匿名访问，则转向登录页面
  54. filterContext.HttpContext.Response.Redirect("~/Account/Login", true);
  55. }
  56. }
  57. /// <summary>
  58. /// 从权限列表验证用户是否有权访问Action
  59. /// </summary>
  60. /// <param name="actionName"></param>
  61. /// <param name="controllerName"></param>
  62. /// <returns></returns>
  63. private bool HasActionQulification(string actionName, string controllerName, string userName)
  64. {
  65. //从该用户的权限数据列表中查找是否有当前Controller和Action的item
  66. var auth = UserAuthList.FirstOrDefault(a =>
  67. {
  68. bool rightAction = false;
  69. bool rightController = a.Controller == controllerName;
  70. if (rightController)
  71. {
  72. string[] actions = a.Actions.Split(',');
  73. rightAction = actions.Contains(actionName);
  74. }
  75. return rightAction;
  76. });
  77. //此处可以校验用户的其它权限条件
  78. //var notAllowed = HasOtherLimition(userName);
  79. //var result = (auth != null) && notAllowed;
  80. //return result;
  81. return (auth != null);
  82. }
  83. }</span>

4.5 业务Controller示例

[csharp] view plaincopy
  1. <span style="font-size: 14px;">
  2. public class ProductController : WebControllerBase
  3. {
  4. [AllowAnonymous]
  5. public ActionResult Query()
  6. {
  7. return View("ProductQuery");
  8. }
  9. [HttpGet]
  10. //[AllowAnonymous]
  11. [RequireAuthorize]
  12. public ActionResult Detail(string id)
  13. {
  14. var cookie = HttpContext.Request.Cookies;
  15. string url = base.ApiUrl + "/Get/" + id;
  16. HttpClient httpClient = HttpClientHelper.Create(url, base.UserLoginTicket);
  17. string result = httpClient.GetString();
  18. var model = JsonSerializer.DeserializeFromString<Product>(result);
  19. ViewData["PRODUCT_ADD_OR_EDIT"] = "E";
  20. return View("ProductForm", model);
  21. }
  22. }</span>
[csharp] view plaincopy
  1. <span style="font-size:14px;">public class ProductController : WebControllerBase
  2. {
  3. [AllowAnonymous]
  4. public ActionResult Query()
  5. {
  6. return View("ProductQuery");
  7. }
  8. [HttpGet]
  9. //[AllowAnonymous]
  10. [RequireAuthorize]
  11. public ActionResult Detail(string id)
  12. {
  13. var cookie = HttpContext.Request.Cookies;
  14. string url = base.ApiUrl + "/Get/" + id;
  15. HttpClient httpClient = HttpClientHelper.Create(url, base.UserLoginTicket);
  16. string result = httpClient.GetString();
  17. var model = JsonSerializer.DeserializeFromString<Product>(result);
  18. ViewData["PRODUCT_ADD_OR_EDIT"] = "E";
  19. return View("ProductForm", model);
  20. }
  21. }</span>

5.  WebApi 服务端代码示例

5.1 控制器基类ApiControllerBase

[csharp] view plaincopy
  1. /// <summary>
  2. /// Controller的基类，用于实现适合业务场景的基础功能
  3. /// </summary>
  4. /// <typeparam name="T"></typeparam>
  5. [BasicAuthentication]
  6. public abstract class ApiControllerBase : ApiController
  7. {
  8. }
[csharp] view plaincopy
  1. /// <summary>
  2. /// Controller的基类，用于实现适合业务场景的基础功能
  3. /// </summary>
  4. /// <typeparam name="T"></typeparam>
  5. [BasicAuthentication]
  6. public abstract class ApiControllerBase : ApiController
  7. {
  8. }

5.2 权限属性BaseAuthenticationAttribute

[csharp] view plaincopy
  1. /// <summary>
  2. /// 基本验证Attribtue，用以Action的权限处理
  3. /// </summary>
  4. public class BasicAuthenticationAttribute : ActionFilterAttribute
  5. {
  6. /// <summary>
  7. /// 检查用户是否有该Action执行的操作权限
  8. /// </summary>
  9. /// <param name="actionContext"></param>
  10. public override void OnActionExecuting(HttpActionContext actionContext)
  11. {
  12. //检验用户ticket信息，用户ticket信息来自调用发起方
  13. if (actionContext.Request.Headers.Authorization != null)
  14. {
  15. //解密用户ticket,并校验用户名密码是否匹配
  16. var encryptTicket = actionContext.Request.Headers.Authorization.Parameter;
  17. if (ValidateUserTicket(encryptTicket))
  18. base.OnActionExecuting(actionContext);
  19. else
  20. actionContext.Response = new HttpResponseMessage(HttpStatusCode.Unauthorized);
  21. }
  22. else
  23. {
  24. //检查web.config配置是否要求权限校验
  25. bool isRquired = (WebConfigurationManager.AppSettings["WebApiAuthenticatedFlag"].ToString() == "true");
  26. if (isRquired)
  27. {
  28. //如果请求Header不包含ticket，则判断是否是匿名调用
  29. var attr = actionContext.ActionDescriptor.GetCustomAttributes<AllowAnonymousAttribute>().OfType<AllowAnonymousAttribute>();
  30. bool isAnonymous = attr.Any(a => a is AllowAnonymousAttribute);
  31. //是匿名用户，则继续执行；非匿名用户，抛出“未授权访问”信息
  32. if (isAnonymous)
  33. base.OnActionExecuting(actionContext);
  34. else
  35. actionContext.Response = new HttpResponseMessage(HttpStatusCode.Unauthorized);
  36. }
  37. else
  38. {
  39. base.OnActionExecuting(actionContext);
  40. }
  41. }
  42. }
  43. /// <summary>
  44. /// 校验用户ticket信息
  45. /// </summary>
  46. /// <param name="encryptTicket"></param>
  47. /// <returns></returns>
  48. private bool ValidateUserTicket(string encryptTicket)
  49. {
  50. var userTicket = FormsAuthentication.Decrypt(encryptTicket);
  51. var userTicketData = userTicket.UserData;
  52. string userName = userTicketData.Substring(0, userTicketData.IndexOf(":"));
  53. string password = userTicketData.Substring(userTicketData.IndexOf(":") + 1);
  54. //检查用户名、密码是否正确，验证是合法用户
  55. //var isQuilified = CheckUser(userName, password);
  56. return true;
  57. }
  58. }
[csharp] view plaincopy
  1. /// <summary>
  2. /// 基本验证Attribtue，用以Action的权限处理
  3. /// </summary>
  4. public class BasicAuthenticationAttribute : ActionFilterAttribute
  5. {
  6. /// <summary>
  7. /// 检查用户是否有该Action执行的操作权限
  8. /// </summary>
  9. /// <param name="actionContext"></param>
  10. public override void OnActionExecuting(HttpActionContext actionContext)
  11. {
  12. //检验用户ticket信息，用户ticket信息来自调用发起方
  13. if (actionContext.Request.Headers.Authorization != null)
  14. {
  15. //解密用户ticket,并校验用户名密码是否匹配
  16. var encryptTicket = actionContext.Request.Headers.Authorization.Parameter;
  17. if (ValidateUserTicket(encryptTicket))
  18. base.OnActionExecuting(actionContext);
  19. else
  20. actionContext.Response = new HttpResponseMessage(HttpStatusCode.Unauthorized);
  21. }
  22. else
  23. {
  24. //检查web.config配置是否要求权限校验
  25. bool isRquired = (WebConfigurationManager.AppSettings["WebApiAuthenticatedFlag"].ToString() == "true");
  26. if (isRquired)
  27. {
  28. //如果请求Header不包含ticket，则判断是否是匿名调用
  29. var attr = actionContext.ActionDescriptor.GetCustomAttributes<AllowAnonymousAttribute>().OfType<AllowAnonymousAttribute>();
  30. bool isAnonymous = attr.Any(a => a is AllowAnonymousAttribute);
  31. //是匿名用户，则继续执行；非匿名用户，抛出“未授权访问”信息
  32. if (isAnonymous)
  33. base.OnActionExecuting(actionContext);
  34. else
  35. actionContext.Response = new HttpResponseMessage(HttpStatusCode.Unauthorized);
  36. }
  37. else
  38. {
  39. base.OnActionExecuting(actionContext);
  40. }
  41. }
  42. }
  43. /// <summary>
  44. /// 校验用户ticket信息
  45. /// </summary>
  46. /// <param name="encryptTicket"></param>
  47. /// <returns></returns>
  48. private bool ValidateUserTicket(string encryptTicket)
  49. {
  50. var userTicket = FormsAuthentication.Decrypt(encryptTicket);
  51. var userTicketData = userTicket.UserData;
  52. string userName = userTicketData.Substring(0, userTicketData.IndexOf(":"));
  53. string password = userTicketData.Substring(userTicketData.IndexOf(":") + 1);
  54. //检查用户名、密码是否正确，验证是合法用户
  55. //var isQuilified = CheckUser(userName, password);
  56. return true;
  57. }
  58. }

5.3 api服务Controller实例

[csharp] view plaincopy
  1. public class ProductController : ApiControllerBase
  2. {
  3. [HttpGet]
  4. public object Find(string id)
  5. {
  6. return ProductServiceInstance.Find(2);
  7. }
  8. // GET api/product/5
  9. [HttpGet]
  10. [AllowAnonymous]
  11. public Product Get(string id)
  12. {
  13. var headers = Request.Headers;
  14. var p = ProductServiceInstance.GetById<Product, EPProduct>(long.Parse(id));
  15. if (p == null)
  16. {
  17. throw new HttpResponseException(new HttpResponseMessage(HttpStatusCode.BadRequest)
  18. Content = new StringContent("id3 not found"), ReasonPhrase = "product id not exist." });
  19. }
  20. return p;
  21. }
  22. }
[csharp] view plaincopy
  1. public class ProductController : ApiControllerBase
  2. {
  3. [HttpGet]
  4. public object Find(string id)
  5. {
  6. return ProductServiceInstance.Find(2);
  7. }
  8. // GET api/product/5
  9. [HttpGet]
  10. [AllowAnonymous]
  11. public Product Get(string id)
  12. {
  13. var headers = Request.Headers;
  14. var p = ProductServiceInstance.GetById<Product, EPProduct>(long.Parse(id));
  15. if (p == null)
  16. {
  17. throw new HttpResponseException(new HttpResponseMessage(HttpStatusCode.BadRequest)
  18. Content = new StringContent("id3 not found"), ReasonPhrase = "product id not exist." });
  19. }
  20. return p;
  21. }
  22. }

6. 其它配置说明

6.1 Mvc前端Web.Config 配置

[html] view plaincopy
  1. <system.web>
  2. <compilation debug="true" targetFramework="4.5">
  3. <assemblies>
  4. <add assembly="System.Web.Http.Data.Helpers, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" />
  5. </assemblies>
  6. </compilation>
  7. <httpRuntime targetFramework="4.5" />
  8. <authentication mode="Forms">
  9. <forms loginUrl="~/Account/Login" defaultUrl="~/Home/Index" protection="All" timeout="90" name=".AuthCookie"></forms>
  10. </authentication>
  11. <machineKey validationKey="3FFA12388DDF585BA5D35E7BC87E3F0AB47FBBEBD12240DD3BEA2BEAEC4ABA213F22AD27E8FAD77DCFEE306219691434908D193A17C1FC8DCE51B71A4AE54920" decryptionKey="ECB6A3AF9ABBF3F16E80685ED68DC74B0B13CCEE538EBBA97D0B893139683B3B" validation="SHA1" decryption="AES" />
  12. </system.web>
[html] view plaincopy
  1. <system.web>
  2. <compilation debug="true" targetFramework="4.5">
  3. <assemblies>
  4. <add assembly="System.Web.Http.Data.Helpers, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" />
  5. </assemblies>
  6. </compilation>
  7. <httpRuntime targetFramework="4.5" />
  8. <authentication mode="Forms">
  9. <forms loginUrl="~/Account/Login" defaultUrl="~/Home/Index" protection="All" timeout="90" name=".AuthCookie"></forms>
  10. </authentication>
  11. <machineKey validationKey="3FFA12388DDF585BA5D35E7BC87E3F0AB47FBBEBD12240DD3BEA2BEAEC4ABA213F22AD27E8FAD77DCFEE306219691434908D193A17C1FC8DCE51B71A4AE54920" decryptionKey="ECB6A3AF9ABBF3F16E80685ED68DC74B0B13CCEE538EBBA97D0B893139683B3B" validation="SHA1" decryption="AES" />
  12. </system.web>

machineKey节点配置，是应用于对用户ticket数据加密和解密。

6.2 WebApi服务端Web.Config配置

[html] view plaincopy
  1. <system.web>
  2. <machineKey validationKey="3FF112388DDF585BA5D35E7BC87E3F0AB47FBBEBD12240DD3BEA2BEAEC4ABA213F22AD27E8FAD77DCFEE306219691434908D193A17C1FC8DCE51B71A4AE54920" decryptionKey="ECB6A3AF9ABBF3F16E80685ED68DC74B0B13CCEE538EBBA97D0B893139683B3B" validation="SHA1" decryption="AES" />
  3. </system.web>
[html] view plaincopy
  1. <system.web>
  2. <machineKey validationKey="3FF112388DDF585BA5D35E7BC87E3F0AB47FBBEBD12240DD3BEA2BEAEC4ABA213F22AD27E8FAD77DCFEE306219691434908D193A17C1FC8DCE51B71A4AE54920" decryptionKey="ECB6A3AF9ABBF3F16E80685ED68DC74B0B13CCEE538EBBA97D0B893139683B3B" validation="SHA1" decryption="AES" />
  3. </system.web>

machineKey节点配置，是应用于对用户ticket数据加密和解密。

7. 总结

Web系统的用户登录及页面操作权限验证在处理逻辑上比较复杂，需要考虑到Form认证、匿名访问，Session和Cookie存储，以及Session和Cookie的过期处理，本文实现了整个权限验证框架的基本功能，供系统架构设计人员以及Web开发人员参考。

转载于:https://www.cnblogs.com/robinapp/p/4308708.html

WebApi权限验证流程的设计和实现相关推荐

  1. 基于URL的权限验证流程总结

    之前写过一篇博客:拦截器实现基于Url的权限管理,文章中讲解了怎么用拦截器实现url权限认证,这仅仅是权限管理的一部分.今天这篇博客就来说说一个项目完整的权限认证流程. 1. 准备权限数据 服务器启动 ...

  2. ASP.NET MVC5+EF6+EasyUI 后台管理系统（65）-MVC WebApi 用户验证 (1)

    系列目录 前言: WebAPI主要开放数据给手机APP,其他需要得知数据的系统,或者软件应用,所以移动端与系统的数据源往往是相通的. Web 用户的身份验证,及页面操作权限验证是B/S系统的基础功能, ...

  3. 基于WF设计业务流程平台_权限在流程模板外部映射

    基于WF设计业务流程平台_权限在流程模板外部映射 前面的几篇文章我介绍了一种权限与流程模板相结合的设计方式,今天我介绍一种权限在流程模板外部映射的计方式. 限在流程模板外部映射,主要的实现思路是: 在 ...

  4. [Abp 源码分析]权限验证

    点击上方蓝字关注我们 0.简介 Abp 本身集成了一套权限验证体系,通过 ASP.NET Core 的过滤器与 Castle 的拦截器进行拦截请求,并进行权限验证.在 Abp 框架内部,权限分为两块, ...

  5. 【 .NET Core 3.0 】框架之五 || JWT权限验证

    前言 关于JWT一共三篇 姊妹篇,内容分别从简单到复杂,一定要多看多想: 一.Swagger的使用 3.3 JWT权限验证[修改] 二.解决JWT权限验证过期问题 三.JWT完美实现权限与接口的动态分 ...

  6. 【.NET Core项目实战-统一认证平台】第十二章 授权篇-深入理解JWT生成及验证流程...

    上篇文章介绍了基于Ids4密码授权模式,从使用场景.原理分析.自定义帐户体系集成完整的介绍了密码授权模式的内容,并最后给出了三个思考问题,本篇就针对第一个思考问题详细的讲解下Ids4是如何生成acce ...

  7. Authorization—权限控制流程

    本篇是对Shiro体系架构的介绍,本栏目大部分内容来自于Shiro官网.翻译过程中已经尽量保证用词的准确性和易懂性,如有不准确或者不确切的地方,请联系作者加以修改.本篇内容翻译自Authorizati ...

  8. 【图解】用户登录验证流程，这下彻底搞懂了！

    本文通过图示及代码的方式介绍用户登录流程及技术实现,内容包括用户登录,用户验证,如何获取操作用户的信息以及一些黑名单及匿名接口如何免验证相关的实现. https://juejin.cn/post/70 ...

  9. shopnc 支持 支付宝快捷登陆 shopnc权限验证原理说明

    为目前使用的是shopnc商场二次开发,shopnc本身做了qq互联和微博快捷登陆的api,做成了集成通用的接口 首先说下基本的这种类型的api访问方式,首先,的有个配置文件,配置你申请的id和key ...

最新文章

  1. 算法设计与分析第1章 算法概述
  2. OSG的HUD抬头文字显示
  3. Apollo分布式配置中心入门
  4. 关于VS无法启动程序，系统找不到指定的路径，最标准的回答
  5. Jquery 插件集合
  6. linux (fedora 28) 制作启动U盘，启动盘
  7. 互联网是由许多计算机组成的网络,互联网运行原理：计算机网络是由许多计算机组成的...
  8. 遗传算法（GA）求解车辆路径问题（VRP）——matlab实现
  9. java常用工具下载
  10. 启动马达接线实物图_常见电机控制实物接线图，简单原理分析，学习入门，值得收藏...
  11. 小程序实时货币汇率计算
  12. C++根据三个点坐标计算夹角
  13. 腾讯海外计费系统架构演进
  14. matlab光线追击,MATLAB在追迹光线计算中的应用
  15. WINDOWS下kill进程的命令
  16. java怎么把背景设成纯透明,怎么把BufferedImage设置背景为透明
  17. 获取商品ID下所有的sku精准库存api
  18. 简单分析市场上从不会缺席的场外交易模式
  19. 晶体三极管放大电路的基础
  20. 【Aegisub相关】template table 和 template environment table

热门文章

  1. Android卷一全文 第一章 阅读前的准备工作
  2. [react] 举例说明什么是高阶组件(HOC)的反向继承
  3. 前端学习（3324）：你不知道javascript说闭包
  4. 前端学习（3124）：react-hello-react之批量传递props
  5. 硬核!原型和原型链详解
  6. [vue] 你了解axios的原理吗？有看过它的源码吗？
  7. 前端学习（2763）：基本的数据绑定
  8. “约见”面试官系列之常见面试题之第七十篇之==和===（建议收藏）
  9. 前端学习（1662）：前端系列实战课程之div跟随鼠标移动
  10. 前端学习（1650）：前端系列实战课程之字符串常用方法