[MVC學習心得]如何自訂Authorize

在MVC的 Action方法可以冠上Authorize的Attribute，並可以指定授權角色，來驗證使用者是否有權限執行 如:[Authorize(Roles="Admin")]
但若要動態指定Roles時，則會出現訊息 "錯誤 2 屬性引數必須是常數運算式、typeof 運算式或屬性參數型別的陣列建立運算式"
程式如下:
[Authorize(Roles=staticClass.GetCurrentRole())]
Ps:staticClass.GetCurrentRole())，此方法是在依照DB的資料來指定權限。 

若想依照DB的資料來判斷權限，可以參考如下

1.新增一類別並繼承AuthorizeAttribute 並新增一自訂屬性PrgNo

public class MyCustomAuthorizeAttribute : AuthorizeAttribute 

    /// <summary> 

      /// 程式編號 

      /// </summary> 

      public string PrgNo 

      { 

          get; 

          set; 

      } 

}

2.覆寫AuthorizeCore方法

protected override bool AuthorizeCore(HttpContextBase httpContext) 

 { 

            if (httpContext == null) 

                throw new ArgumentNullException("httpContext"); 

            string[] users = Users.Split(','); 

            if (!httpContext.User.Identity.IsAuthenticated) 

                return false; 

            //取得使用者的角色 

            FormsIdentity id = httpContext.User.Identity as FormsIdentity; 

            FormsAuthenticationTicket ticket = id.Ticket; 

            string[] currentRoles = ticket.UserData.Split(','); 

            string roles = this.GetRolesByPrg();//取得程式允許的角色 

            foreach (string role in currentRoles) 

            { 

                if (roles.IndexOf(role) > -1) 

                    return true; 

            } 

            return false; 

  } 

        /// <summary> 

        /// 依照程式編號取得授權角色 

        /// </summary> 

        /// <returns></returns> 

        string GetRolesByPrg() 

        ...{ 

            //testing code 不重要 

            //TODO:DB 邏輯  

            return "Admin,Manager"; 

        }

3.在Action冠上自訂的AuthorizeAttribute

[MyCustomAuthorize(PrgNo="Kim110")] 

public System.Web.Mvc.ActionResult Index() 

{ 

  var result = this._productDAL.GetAllProducts(); 

  return View(result); 

}

大功告成這樣就可以明確的指定Action對應到程式編號可以有哪些角色可以使用

範例檔案
MyCustomAuthorizeAttribute.zip

MDSN
http://social.msdn.microsoft.com/Forums/zh-TW/236/thread/9b646099-67d8-4e42-b7b9-e2ba66e5a40d
參考文章
http://schotime.net/blog/index.php/2009/02/17/custom-authorization-with-aspnet-mvc/