asp.net core利用AccessControlHelper实现控制访问权限

intro#

由于项目需要，需要在基于 asp.net mvc 的 web 项目框架中做权限的控制，于是才有了这个权限控制组件，最初只是支持 netframework，后来 dotnetcore 2.0 发布了之后添加了对 asp.net core 的支持，在 dotnetcore 3.0 发布之后也增加了对 asp.net core 3.0 的支持(1.9.0及之后版本)，目前对于 asp.net core 支持的更多一些，asp.net core 可以使用 taghelper 来控制页面上元素的权限访问，也可以通过 policy 来控制权限访问，同时支持通过中间件也可以实现对静态资源的访问。

安装 accesscontrolhelper nuget 包#

安装 nuget 包 weihanli.aspnetmvc.accesscontrolhelper

dotnet add package weihanli.aspnetmvc.accesscontrolhelper

实现自己的访问策略#

资源访问策略/api访问策略#

以下代码定义了一个简单的访问策略，需要登录且拥有 admin 角色，可以根据自己需要调整优化

public class adminpermissionrequirestrategy : iresourceaccessstrategy
{
  private readonly ihttpcontextaccessor _accessor;

  public adminpermissionrequirestrategy(ihttpcontextaccessor accessor)
  {
    _accessor = accessor;
  }

  public bool iscanaccess(string accesskey)
  {
    var user = _accessor.httpcontext.user;
    return user.identity.isauthenticated && user.isinrole("admin");
  }

  public iactionresult disallowedcommonresult => new contentresult
  {
    content = "no permission",
    contenttype = "text/plain",
    statuscode = 403
  };

  public iactionresult disallowedajaxresult => new jsonresult(new jsonresultmodel
  {
    errormsg = "no permission",
    status = jsonresultstatus.nopermission
  });
}

页面元素访问策略#

定义页面元素/控件访问策略：

public class adminonlycontrolaccessstrategy : icontrolaccessstrategy
{
  private readonly ihttpcontextaccessor _accessor;

  public adminonlycontrolaccessstrategy(ihttpcontextaccessor httpcontextaccessor) => _accessor = httpcontextaccessor;

  public bool iscontrolcanaccess(string accesskey)
  {
    if ("never".equals(accesskey, system.stringcomparison.ordinalignorecase))
    {
      return false;
    }
    var user = _accessor.httpcontext.user;
    return user.identity.isauthenticated && user.isinrole("admin");
  }
}

服务注册配置#

在 startup 里注册服务：

services.addaccesscontrolhelper()
  .addresourceaccessstrategy<filters.adminpermissionrequirestrategy>()
  .addcontrolaccessstrategy<filters.adminonlycontrolaccessstrategy>()
  ;

如果你只是 web api ，不涉及到页面元素的权限控制可以只注册 resourceaccessstrategy

services.addaccesscontrolhelper()
.addresourceaccessstrategy<filters.adminpermissionrequirestrategy>();

默认访问策略的生命周期是单例的，如果需要注册为scoped，可以指定默认的生命周期

services.addaccesscontrolhelper()
.addresourceaccessstrategy<filters.adminpermissionrequirestrategy>(servicelifetime.scoped);

api/资源的权限控制#

对于 asp.net core 应用推荐使用 policy 来控制权限的访问，可以在需要权限控制的 action 或者 controller 上设置 [authorize("accesscontrol")] 或者 [authorize(accesscontrolhelperconstants.policyname)]

[authorize(accesscontrolhelperconstants.policyname)]
public class systemsettingscontroller : adminbasecontroller
{
  // ...
}

[authorize(accesscontrolhelperconstants.policyname)]
public actionresult userlist()
{
  return view();
}

页面元素的权限控制#

引用 taghelper#

在 views 目录下的 _viewimports.cshtml 文件中导入 accesscontrolhelper 的 taghelper

@using activityreservation
@using weihanli.aspnetmvc.accesscontrolhelper
@using weihanli.aspnetmvc.mvcsimplepager

@addtaghelper *, microsoft.aspnetcore.mvc.taghelpers
@addtaghelper *, weihanli.aspnetmvc.accesscontrolhelper

详见: https://github.com/weihanli/activityreservation/blob/dev/activityreservation/areas/admin/views/_viewimports.cshtml

页面元素配置#

在需要权限控制的元素上增加 asp-access 的 attribute 就可以了，如果需要 access-key 通过 asp-access-key 来配置

<ul class="list-group" asp-access asp-access-key="adminonly">
  <li role="separator" class="list-unstyled">
    <br />
  </li>
  <li class="list-group-item">@html.actionlink("用户管理", "userlist", "account")</li>

  <li class="list-group-item">@html.actionlink("操作日志查看", "index", "operationlog")</li>
  <li class="list-group-item">@html.actionlink("系统设置管理", "index", "systemsettings")</li>
  <li class="list-group-item">
    @html.actionlink("微信设置管理", "index", new {
    controller = "config",
    area = "wechat"
  })
  </li>
</ul>

这样就可以了，有权限访问的时候才会正常渲染，没有权限访问的时候，这一段 ul 并不会渲染输出，在客户端浏览器查看源代码也不会看到对应的代码

reference#

• https://github.com/weihanli/activityreservation
• https://github.com/weihanli/accesscontrolhelper

总结

以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作具有一定的参考学习价值，谢谢大家对的支持。