Autorisation sur mesure en Asp.net WebApi-quel gâchis?

quelles méthodes devrais-je utiliser : IsAuthorized ou OnAuthorization ? ( ou quand utiliser qui)

vous prolongerez AuthorizationFilterAttribute si votre logique d'autorisation ne dépend pas de l'identité établie et des rôles. Pour l'autorisation liée à l'utilisateur, vous étendrez et utiliserez AuthorizeAttribute . Dans le premier cas, vous annulerez OnAuthorization . Dans ce dernier cas, vous annulerez IsAuthorized . Comme vous pouvez le voir à partir du code source de ces attributs, OnAuthorization est marqué virtuel pour vous remplacer si vous dériver de AuthorizationFilterAttribute . D'autre part, la méthode IsAuthorized est marquée virtuelle dans AuthorizeAttribute . Je crois que c'est un bon pointeur à l'usage prévu.

Quand dois-je appeler la base?IsAuthorized ou de la base.OnAuthorization?

la réponse à cette question réside dans le fonctionnement général de OO. Si vous substituez une méthode, vous pouvez soit complètement fournir une nouvelle implémentation ou piggy back sur l'implémentation fournie par parent et améliorer le comportement. Prenons par exemple le cas de IsAuthorized(HttpActionContext) . Le comportement de la classe de base est de vérifier l'utilisateur / rôle par rapport à ce qui est spécifié dans le filtre par rapport à l'identité établie. Dire, vous voulez faire tout cela, mais en plus, vous voulez vérifier quelque chose d'autre, peut être basée sur un en-tête de requête ou de quelque chose. Dans ce cas, vous pouvez fournir un remplacement de ce genre.

protected override bool IsAuthorized(HttpActionContext actionContext)
{
    bool isAuthroized = base.IsAuthorized(actionContext);
    // Here you look at the header and do your additional stuff based on actionContext
    // and store the result in isRequestHeaderOk
    // Then, you can combine the results
    // return isAuthorized && isRequestHeaderOk;
}

je suis désolé mais je ne comprends pas votre Q3. BTW, filtre D'autorisation a été autour pendant une longue période et les gens l'utilisent pour toutes sortes de choses et parfois incorrectement aussi bien.

encore une chose. Et finalement, il y avait ce gars ici qui a dit: ne devrait pas outrepasser OnAuthorization-parce que vous seriez absent [AllowAnonymous] handling.

le type qui a dit que C'était le dieu du contrôle d'accès - Dominick. Évidemment, ce sera correct. Si vous regardez l'implémentation de OnAuthorization (copié ci-dessous),

public override void OnAuthorization(HttpActionContext actionContext)
{
    if (actionContext == null)
    {
        throw Error.ArgumentNull("actionContext");
    }

    if (SkipAuthorization(actionContext))
    {
        return;
    }

    if (!IsAuthorized(actionContext))
    {
        HandleUnauthorizedRequest(actionContext);
    }
}

l'appel à SkipAuthorization est la partie qui assure que les filtres AllowAnonymous sont appliqués, c'est-à-dire que l'autorisation est sautée. Si vous outrepassez cette méthode, vous perdez ce comportement. En fait, si vous décidez de baser votre autorisation sur les utilisateurs/rôles, à ce moment-là vous auriez décidé de dériver de AuthorizeAttribute . La seule option correcte qui reste pour vous à ce point sera d'outrepasser IsAuthorized et non le déjà dépassé OnAuthorization , bien qu'il soit techniquement possible de faire l'un ou l'autre.

PS. En ASP.NET API Web, il y a un autre filtre appelé authentification filter. L'idée est que vous utilisiez cela pour l'authentification et le filtre d'autorisation pour l'autorisation, comme le nom l'indique. Toutefois, il existe de nombreux exemples où cette limite est contournée. Beaucoup d'exemples de filtres authroization feront une sorte de Authentication. Quoi qu'il en soit, si vous avez le temps et que vous voulez comprendre un peu plus, jetez un oeil à ce MSDN article . Avertissement: Il a été écrit par moi.