1

Пытаюсь сделать проверку на то что бы по адресу /controler/user1/action был доступ только у user1, у остальных ошибка.

Задан такой маршрут url: "controler/{username}/{action}/{id}". я могу конечно прописать проверку в каждом действие, вот так:

        public ActionResult Index(string username)
{
var identity = (ClaimsPrincipal)Thread.CurrentPrincipal;
var Name = identity.Claims.Where(c => c.Type == "UserName").Select(c => c.Value).SingleOrDefault();

if (username == name)

//----//
            return View();
}

но действий много, код постоянно будет повторяться, и подумал что можно реализовать данное через фильтры. Но как получить в фильтрах имя пользователя из url?

это не работает почему то:

string UserName = RouteData.Values["username"].ToString();

и так тоже не сработало:

if(filterContext.HttpContext.Request.Url.Segments.Contains(UserName))

Если делать поиск строки в Url то может возникнуть ситуация когда например в url будет идентичное слово (вывод в url названия статьи к примеру), а это не безопасно, кто угодно может получить доступ к чужим записям. Можете подсказать как вытащить нужное значение из урла? и верно ли я вообще делаю?

5
  • 1
    > код постоянно будет повторяться А почему это проблема? Вынесите проверяющий код в отдельную процедуру.
    – VladD
    29 июл 2014 в 12:43
  • @VladD подскажите как это сделать? 29 июл 2014 в 12:55
  • 1
    @Колямбий: Эээ... Вы не знаете, как написать функцию? void EnsureUser(string username) { var identity = (ClaimsPrincipal)Thread.CurrentPrincipal; var name = identity.Claims.Where(c => c.Type == "UserName") .Select(c => c.Value).SingleOrDefault(); if (username != name) throw new WhateverIsAppropriateException("No access for user " + name); }
    – VladD
    29 июл 2014 в 13:52
  • @VladD спасибо. меня заклинило =) а для WhateverIsAppropriateException что нужно подключить? а то не нашел в гугле 29 июл 2014 в 15:44
  • 1
    @Колямбий: Ну, название я выдумал, бросьте тот тип исключения, который вы считаете правильным в этой ситуации.
    – VladD
    29 июл 2014 в 15:52

2 ответа 2

1

а чем Вам не подходит атрибут на контроллер: [Authorize (Users="user1")] и к данному контроллеру или методу (смотря где расположите) будет иметь доступ только user1

1
  • если же Вам понадобится более сложная проверка для доступа то всегда можно написать свой фильтр, более подробно можно почитать здесь
    – Bald
    25 сен 2015 в 11:41
0

Я бы советовал использовать не фильтр, а IRouteConstraint на маршрут, в котором была бы логика проверки этого username (выполняется на этапе подбора маршрута)

1
  • Постарайтесь писать более развернутые ответы. Поясните, на чем основано ваше утверждение? 16 мая 2015 в 6:16

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.