asp.net core 使用 accesscontrolhelper 控制访问权限

intro

由于项目需要，需要在基于 asp.net mvc 的 web 项目框架中做权限的控制，于是才有了这个权限控制组件，最初只是支持 netframework，后来 dotnetcore 2.0 发布了之后添加了对 asp.net core 的支持，在 dotnetcore 3.0 发布之后也增加了对 asp.net core 3.0 的支持(1.9.0及之后版本)，目前对于 asp.net core 支持的更多一些，asp.net core 可以使用 taghelper 来控制页面上元素的权限访问，也可以通过 policy 来控制权限访问，同时支持通过中间件也可以实现对静态资源的访问。

安装 accesscontrolhelper nuget 包

安装 nuget 包 weihanli.aspnetmvc.accesscontrolhelper

dotnet add package weihanli.aspnetmvc.accesscontrolhelper

实现自己的访问策略

资源访问策略/api访问策略

以下代码定义了一个简单的访问策略，需要登录且拥有 admin 角色，可以根据自己需要调整优化

public class adminpermissionrequirestrategy : iresourceaccessstrategy
{
    private readonly ihttpcontextaccessor _accessor;

    public adminpermissionrequirestrategy(ihttpcontextaccessor accessor)
    {
        _accessor = accessor;
    }

    public bool iscanaccess(string accesskey)
    {
        var user = _accessor.httpcontext.user;
        return user.identity.isauthenticated && user.isinrole("admin");
    }

    public iactionresult disallowedcommonresult => new contentresult
    {
        content = "no permission",
        contenttype = "text/plain",
        statuscode = 403
    };

    public iactionresult disallowedajaxresult => new jsonresult(new jsonresultmodel
    {
        errormsg = "no permission",
        status = jsonresultstatus.nopermission
    });
}

页面元素访问策略

定义页面元素/控件访问策略：

public class adminonlycontrolaccessstrategy : icontrolaccessstrategy
{
    private readonly ihttpcontextaccessor _accessor;

    public adminonlycontrolaccessstrategy(ihttpcontextaccessor httpcontextaccessor) => _accessor = httpcontextaccessor;

    public bool iscontrolcanaccess(string accesskey)
    {
        if ("never".equals(accesskey, system.stringcomparison.ordinalignorecase))
        {
            return false;
        }
        var user = _accessor.httpcontext.user;
        return user.identity.isauthenticated && user.isinrole("admin");
    }
}

服务注册配置

在 startup 里注册服务：

services.addaccesscontrolhelper()
   .addresourceaccessstrategy<filters.adminpermissionrequirestrategy>()
    .addcontrolaccessstrategy<filters.adminonlycontrolaccessstrategy>()
    ;

如果你只是 web api ，不涉及到页面元素的权限控制可以只注册 resourceaccessstrategy

services.addaccesscontrolhelper()
.addresourceaccessstrategy<filters.adminpermissionrequirestrategy>();

默认访问策略的生命周期是单例的，如果需要注册为scoped，可以指定默认的生命周期

services.addaccesscontrolhelper()
.addresourceaccessstrategy<filters.adminpermissionrequirestrategy>(servicelifetime.scoped);

api/资源的权限控制

对于 asp.net core 应用推荐使用 policy 来控制权限的访问，可以在需要权限控制的 action 或者 controller 上设置 [authorize("accesscontrol")] 或者 [authorize(accesscontrolhelperconstants.policyname)]

[authorize(accesscontrolhelperconstants.policyname)]
public class systemsettingscontroller : adminbasecontroller
{
    // ...
}

[authorize(accesscontrolhelperconstants.policyname)]
public actionresult userlist()
{
    return view();
}

页面元素的权限控制

引用 taghelper

在 views 目录下的 _viewimports.cshtml 文件中导入 accesscontrolhelper 的 taghelper

@using activityreservation
@using weihanli.aspnetmvc.accesscontrolhelper
@using weihanli.aspnetmvc.mvcsimplepager

@addtaghelper *, microsoft.aspnetcore.mvc.taghelpers
@addtaghelper *, weihanli.aspnetmvc.accesscontrolhelper

详见: https://github.com/weihanli/activityreservation/blob/dev/activityreservation/areas/admin/views/_viewimports.cshtml

页面元素配置

在需要权限控制的元素上增加 asp-access 的 attribute 就可以了，如果需要 access-key 通过 asp-access-key 来配置

<ul class="list-group" asp-access asp-access-key="adminonly">
    <li role="separator" class="list-unstyled">
        <br />
    </li>
    <li class="list-group-item">@html.actionlink("用户管理", "userlist", "account")</li>

    <li class="list-group-item">@html.actionlink("操作日志查看", "index", "operationlog")</li>
    <li class="list-group-item">@html.actionlink("系统设置管理", "index", "systemsettings")</li>
    <li class="list-group-item">
        @html.actionlink("微信设置管理", "index", new {
        controller = "config",
        area = "wechat"
    })
    </li>
</ul>

这样就可以了，有权限访问的时候才会正常渲染，没有权限访问的时候，这一段 ul 并不会渲染输出，在客户端浏览器查看源代码也不会看到对应的代码

reference

• https://github.com/weihanli/activityreservation
• https://github.com/weihanli/accesscontrolhelper