Web用户的身份验证及WebApi权限验证流程的设计和实现

逃离我推掉我的手 2022-07-13 15:28 528阅读 0赞

# [Web用户的身份验证及WebApi权限验证流程的设计和实现][Web_WebApi] #

2013-12-03 14:42  32033人阅读  [评论][Link 1](4)  收藏  [举报][Link 2]

![category_icon.jpg][]  分类：

MVC技术（29） ![arrow_triangle_20_down.jpg][]

前言：Web 用户的身份验证，及页面操作权限验证是B/S系统的基础功能，一个功能复杂的业务应用系统，通过角色授权来控制用户访问，本文通过Form认证，Mvc的Controller基类及Action的权限验证来实现Web系统登录，Mvc前端权限校验以及WebApi服务端的访问校验功能。

1. Web Form认证介绍

Web应用的访问方式因为是基于浏览器的Http地址请求，所以需要验证用户身份的合法性。目前常见的方式是Form认证，其处理逻辑描述如下：  
1. 用户首先要在登录页面输入用户名和密码，然后登录系统，获取合法身份的票据，再执行后续业务处理操作；  
2. 用户在没有登录的情况下提交Http页面访问请求，如果该页面不允许匿名访问，则直接跳转到登录页面；  
3. 对于允许匿名访问的页面请求，系统不做权限验证，直接处理业务数据，并返回给前端；  
4. 对于不同权限要求的页面Action操作，系统需要校验用户角色，计算权限列表，如果请求操作在权限列表中，则正常访问，如果不在权限列表中，则提示“未授权的访问操作”到异常处理页面。

2. WebApi 服务端Basic 方式验证

WebApi服务端接收访问请求，需要做安全验证处理，验证处理步骤如下：  
1. 如果是合法的Http请求，在Http请求头中会有用户身份的票据信息，服务端会读取票据信息，并校验票据信息是否完整有效，如果满足校验要求，则进行业务数据的处理，并返回给请求发起方；  
2. 如果没有票据信息，或者票据信息不是合法的，则返回“未授权的访问”异常消息给前端，由前端处理此异常。

3. 登录及权限验证流程

![1358486849_2436.png][]

![9293541][]

流程处理步骤说明：  
1. 用户打开浏览器，并在地址栏中输入页面请求地址，提交；  
2. 浏览器解析Http请求，发送到Web服务器；Web服务器验证用户请求，首先判断是否有登录的票据信息；  
3. 用户没有登录票据信息，则跳转到登录页面；  
4. 用户输入用户名和密码信息；  
5. 浏览器提交登录表单数据给Web服务器；  
6. Web服务需要验证用户名和密码是否匹配，发送api请求给api服务器；  
7. api用户账户服务根据用户名，读取存储在[数据库][Link 3]中的用户资料，判断密码是否匹配；  
1）如果用户名和密码不匹配，则提示密码错误等信息，然该用户重新填写登录资料；  
2）如果验证通过，则保存用户票据信息；  
8. 接第3步，如果用户有登录票据信息，则跳转到用户请求的页面；  
9. 验证用户对当前要操作的页面或页面元素是否有权限操作，首先需要发起api服务请求，获取用户的权限数据；  
10. api用户权限服务根据用户名，查找该用户的角色信息，并计算用户权限列表，封装为Json数据并返回；  
11. 当用户有权限操作页面或页面元素时，跳转到页面，并由页面Controller提交业务数据处理请求到api服务器；  
   如果用户没有权限访问该页面或页面元素时，则显示“未授权的访问操作”，跳转到系统异常处理页面。  
12. api业务服务处理业务逻辑，并将结果以Json 数据返回；  
13. 返回渲染后的页面给浏览器前端，并呈现业务数据到页面；  
14. 用户填写业务数据，或者查找业务数据；  
15. 当填写或查找完业务数据后，用户提交表单数据；  
16. 浏览器脚本提交get，post等请求给web服务器，由web服务器再次解析请求操作，重复步骤2的后续流程；  
17. 当api服务器验证用户身份是，没有可信用户票据，系统提示“未授权的访问操作”，跳转到系统异常处理页面。

4. Mvc前端代码示例

4.1 用户登录AccountController

**\[csharp\]**  [view plain][] [copy][view plain]

1. <span style="font-size: 18px;"> <span style="font-size: 14px;">
2. **public** **class** AccountController : Controller  
3.     \{  
4.         //  
5.         // GET: /Logon/  
6.   
7.         **public** ActionResult Login(**string** returnUrl)  
8.         \{  
9.             ViewBag.ReturnUrl = returnUrl;  
10.             **return** View();  
11.         \}  
12.   
13.         \[HttpPost\]  
14.         **public** ActionResult Logon(LoginUser loginUser, **string** returnUrl)  
15.         \{  
16.             **string** strUserName = loginUser.UserName;  
17.             **string** strPassword = loginUser.Password;  
18.             var accountModel = **new** AccountModel();  
19.   
20.             //验证用户是否是系统注册用户  
21.             **if** (accountModel.ValidateUserLogin(strUserName, strPassword))  
22.             \{  
23.                 **if** (Url.IsLocalUrl(returnUrl))  
24.                 \{  
25.                     //创建用户ticket信息  
26.                     accountModel.CreateLoginUserTicket(strUserName, strPassword);  
27.   
28.                     //读取用户权限数据  
29.                     accountModel.GetUserAuthorities(strUserName);  
30.   
31.                     **return** **new** RedirectResult(returnUrl);  
32.                 \}  
33.                 **else**  
34.                 \{  
35.                     **return** RedirectToAction("Index", "Home");  
36.                 \}                 
37.             \}  
38.             **else**  
39.             \{  
40.                 **throw** **new** ApplicationException("无效登录用户！");  
41.             \}  
42.         \}  
43.   
44.         /// <summary>  
45.         /// 用户注销，注销之前，清除用户ticket  
46.         /// </summary>  
47.         /// <returns></returns>  
48.         \[HttpPost\]  
49.         **public** ActionResult Logout()  
50.         \{  
51.             var accountModel = **new** AccountModel();  
52.             accountModel.Logout();  
53.   
54.             **return** RedirectToAction("Login", "Account");  
55.         \}  
56.     \}

**\[csharp\]**  [view plain][view plain 1] [copy][view plain 1]

1. <span style="font-size:18px;"> <span style="font-size:14px;">**public** **class** AccountController : Controller  
2.     \{  
3.         //  
4.         // GET: /Logon/  
5.   
6.         **public** ActionResult Login(**string** returnUrl)  
7.         \{  
8.             ViewBag.ReturnUrl = returnUrl;  
9.             **return** View();  
10.         \}  
11.   
12.         \[HttpPost\]  
13.         **public** ActionResult Logon(LoginUser loginUser, **string** returnUrl)  
14.         \{  
15.             **string** strUserName = loginUser.UserName;  
16.             **string** strPassword = loginUser.Password;  
17.             var accountModel = **new** AccountModel();  
18.   
19.             //验证用户是否是系统注册用户  
20.             **if** (accountModel.ValidateUserLogin(strUserName, strPassword))  
21.             \{  
22.                 **if** (Url.IsLocalUrl(returnUrl))  
23.                 \{  
24.                     //创建用户ticket信息  
25.                     accountModel.CreateLoginUserTicket(strUserName, strPassword);  
26.   
27.                     //读取用户权限数据  
28.                     accountModel.GetUserAuthorities(strUserName);  
29.   
30.                     **return** **new** RedirectResult(returnUrl);  
31.                 \}  
32.                 **else**  
33.                 \{  
34.                     **return** RedirectToAction("Index", "Home");  
35.                 \}                 
36.             \}  
37.             **else**  
38.             \{  
39.                 **throw** **new** ApplicationException("无效登录用户！");  
40.             \}  
41.         \}  
42.   
43.         /// <summary>  
44.         /// 用户注销，注销之前，清除用户ticket  
45.         /// </summary>  
46.         /// <returns></returns>  
47.         \[HttpPost\]  
48.         **public** ActionResult Logout()  
49.         \{  
50.             var accountModel = **new** AccountModel();  
51.             accountModel.Logout();  
52.   
53.             **return** RedirectToAction("Login", "Account");  
54.         \}  
55.     \}

4.2 用户模型AccountModel

**\[csharp\]**  [view plain][] [copy][view plain]

1. <span style="font-size: 14px;">
2. **public** **class** AccountModel  
3.     \{  
4.         /// <summary>  
5.         /// 创建登录用户的票据信息  
6.         /// </summary>  
7.         /// <param name="strUserName"></param>  
8.         **internal** **void** CreateLoginUserTicket(**string** strUserName, **string** strPassword)  
9.         \{  
10.             //构造Form验证的票据信息  
11.             FormsAuthenticationTicket ticket = **new** FormsAuthenticationTicket(1, strUserName, DateTime.Now, DateTime.Now.AddMinutes(90),  
12.                 **true**, **string**.Format("\{0\}:\{1\}", strUserName, strPassword), FormsAuthentication.FormsCookiePath);  
13.   
14.             **string** ticString = FormsAuthentication.Encrypt(ticket);  
15.   
16.             //把票据信息写入Cookie和Session  
17.             //SetAuthCookie方法用于标识用户的Identity状态为true  
18.             HttpContext.Current.Response.Cookies.Add(**new** HttpCookie(FormsAuthentication.FormsCookieName, ticString));  
19.             FormsAuthentication.SetAuthCookie(strUserName, **true**);  
20.             HttpContext.Current.Session\["USER\_LOGON\_TICKET"\] = ticString;  
21.               
22.             //重写HttpContext中的用户身份，可以封装自定义角色数据；  
23.             //判断是否合法用户，可以检查：HttpContext.User.Identity.IsAuthenticated的属性值  
24.             **string**\[\] roles = ticket.UserData.Split(',');  
25.             IIdentity identity = **new** FormsIdentity(ticket);  
26.             IPrincipal principal = **new** GenericPrincipal(identity, roles);  
27.             HttpContext.Current.User = principal;  
28.         \}  
29.   
30.         /// <summary>  
31.         /// 获取用户权限列表数据  
32.         /// </summary>  
33.         /// <param name="userName"></param>  
34.         /// <returns></returns>  
35.         **internal** **string** GetUserAuthorities(**string** userName)  
36.         \{  
37.             //从WebApi 访问用户权限数据，然后写入Session  
38.             **string** jsonAuth = "\[\{\\"Controller\\": \\"SampleController\\", \\"Actions\\":\\"Apply,Process,Complete\\"\}, \{\\"Controller\\": \\"Product\\", \\"Actions\\": \\"List,Get,Detail\\"\}\]";  
39.             var userAuthList = ServiceStack.Text.JsonSerializer.DeserializeFromString(jsonAuth, **typeof**(UserAuthModel\[\]));  
40.             HttpContext.Current.Session\["USER\_AUTHORITIES"\] = userAuthList;  
41.   
42.             **return** jsonAuth;  
43.         \}  
44.   
45.         /// <summary>  
46.         /// 读取数据库用户表数据，判断用户密码是否匹配  
47.         /// </summary>  
48.         /// <param name="name"></param>  
49.         /// <param name="password"></param>  
50.         /// <returns></returns>  
51.         **internal** **bool** ValidateUserLogin(**string** name, **string** password)  
52.         \{  
53.             //bool isValid = password == passwordInDatabase;  
54.             **return** **true**;  
55.         \}  
56.   
57.         /// <summary>  
58.         /// 用户注销执行的操作  
59.         /// </summary>  
60.         **internal** **void** Logout()  
61.         \{  
62.             FormsAuthentication.SignOut();  
63.         \}  
64.     \}

**\[csharp\]**  [view plain][view plain 1] [copy][view plain 1]

1. <span style="font-size:14px;">**public** **class** AccountModel  
2.     \{  
3.         /// <summary>  
4.         /// 创建登录用户的票据信息  
5.         /// </summary>  
6.         /// <param name="strUserName"></param>  
7.         **internal** **void** CreateLoginUserTicket(**string** strUserName, **string** strPassword)  
8.         \{  
9.             //构造Form验证的票据信息  
10.             FormsAuthenticationTicket ticket = **new** FormsAuthenticationTicket(1, strUserName, DateTime.Now, DateTime.Now.AddMinutes(90),  
11.                 **true**, **string**.Format("\{0\}:\{1\}", strUserName, strPassword), FormsAuthentication.FormsCookiePath);  
12.   
13.             **string** ticString = FormsAuthentication.Encrypt(ticket);  
14.   
15.             //把票据信息写入Cookie和Session  
16.             //SetAuthCookie方法用于标识用户的Identity状态为true  
17.             HttpContext.Current.Response.Cookies.Add(**new** HttpCookie(FormsAuthentication.FormsCookieName, ticString));  
18.             FormsAuthentication.SetAuthCookie(strUserName, **true**);  
19.             HttpContext.Current.Session\["USER\_LOGON\_TICKET"\] = ticString;  
20.               
21.             //重写HttpContext中的用户身份，可以封装自定义角色数据；  
22.             //判断是否合法用户，可以检查：HttpContext.User.Identity.IsAuthenticated的属性值  
23.             **string**\[\] roles = ticket.UserData.Split(',');  
24.             IIdentity identity = **new** FormsIdentity(ticket);  
25.             IPrincipal principal = **new** GenericPrincipal(identity, roles);  
26.             HttpContext.Current.User = principal;  
27.         \}  
28.   
29.         /// <summary>  
30.         /// 获取用户权限列表数据  
31.         /// </summary>  
32.         /// <param name="userName"></param>  
33.         /// <returns></returns>  
34.         **internal** **string** GetUserAuthorities(**string** userName)  
35.         \{  
36.             //从WebApi 访问用户权限数据，然后写入Session  
37.             **string** jsonAuth = "\[\{\\"Controller\\": \\"SampleController\\", \\"Actions\\":\\"Apply,Process,Complete\\"\}, \{\\"Controller\\": \\"Product\\", \\"Actions\\": \\"List,Get,Detail\\"\}\]";  
38.             var userAuthList = ServiceStack.Text.JsonSerializer.DeserializeFromString(jsonAuth, **typeof**(UserAuthModel\[\]));  
39.             HttpContext.Current.Session\["USER\_AUTHORITIES"\] = userAuthList;  
40.   
41.             **return** jsonAuth;  
42.         \}  
43.   
44.         /// <summary>  
45.         /// 读取数据库用户表数据，判断用户密码是否匹配  
46.         /// </summary>  
47.         /// <param name="name"></param>  
48.         /// <param name="password"></param>  
49.         /// <returns></returns>  
50.         **internal** **bool** ValidateUserLogin(**string** name, **string** password)  
51.         \{  
52.             //bool isValid = password == passwordInDatabase;  
53.             **return** **true**;  
54.         \}  
55.   
56.         /// <summary>  
57.         /// 用户注销执行的操作  
58.         /// </summary>  
59.         **internal** **void** Logout()  
60.         \{  
61.             FormsAuthentication.SignOut();  
62.         \}  
63.     \}

4.3 控制器基类WebControllerBase

**\[csharp\]**  [view plain][] [copy][view plain]

1. <span style="font-size: 14px;">/// <summary>  
2.     /// 前端Mvc控制器基类  
3.     /// </summary>  
4.     \[Authorize\]  
5.     **public** **abstract** **class** WebControllerBase : Controller  
6.     \{  
7.         /// <summary>  
8.         /// 对应api的Url  
9.         /// </summary>  
10.         **public** **string** ApiUrl  
11.         \{  
12.             **get**;  
13.             **protected** **set**;  
14.         \}  
15.   
16.         /// <summary>  
17.         /// 用户权限列表  
18.         /// </summary>  
19.         **public** UserAuthModel\[\] UserAuthList  
20.         \{  
21.             **get**  
22.             \{  
23.                 **return** AuthorizedUser.Current.UserAuthList;  
24.             \}  
25.         \}  
26.   
27.         /// <summary>  
28.         /// 登录用户票据  
29.         /// </summary>  
30.         **public** **string** UserLoginTicket  
31.         \{  
32.             **get**  
33.             \{  
34.                 **return** AuthorizedUser.Current.UserLoginTicket;  
35.             \}  
36.         \}  
37.     \}

**\[csharp\]**  [view plain][view plain 1] [copy][view plain 1]

1. <span style="font-size:14px;">/// <summary>  
2.     /// 前端Mvc控制器基类  
3.     /// </summary>  
4.     \[Authorize\]  
5.     **public** **abstract** **class** WebControllerBase : Controller  
6.     \{  
7.         /// <summary>  
8.         /// 对应api的Url  
9.         /// </summary>  
10.         **public** **string** ApiUrl  
11.         \{  
12.             **get**;  
13.             **protected** **set**;  
14.         \}  
15.   
16.         /// <summary>  
17.         /// 用户权限列表  
18.         /// </summary>  
19.         **public** UserAuthModel\[\] UserAuthList  
20.         \{  
21.             **get**  
22.             \{  
23.                 **return** AuthorizedUser.Current.UserAuthList;  
24.             \}  
25.         \}  
26.   
27.         /// <summary>  
28.         /// 登录用户票据  
29.         /// </summary>  
30.         **public** **string** UserLoginTicket  
31.         \{  
32.             **get**  
33.             \{  
34.                 **return** AuthorizedUser.Current.UserLoginTicket;  
35.             \}  
36.         \}  
37.     \}

4.4 权限属性RequireAuthorizationAttribute

**\[csharp\]**  [view plain][] [copy][view plain]

1. <span style="font-size: 14px;">/// <summary>  
2.     /// 权限验证属性类  
3.     /// </summary>  
4.     **public** **class** RequireAuthorizeAttribute : AuthorizeAttribute  
5.     \{  
6.         /// <summary>  
7.         /// 用户权限列表  
8.         /// </summary>  
9.         **public** UserAuthModel\[\] UserAuthList  
10.         \{  
11.             **get**  
12.             \{  
13.                 **return** AuthorizedUser.Current.UserAuthList;  
14.             \}  
15.         \}  
16.   
17.         /// <summary>  
18.         /// 登录用户票据  
19.         /// </summary>  
20.         **public** **string** UserLoginTicket  
21.         \{  
22.             **get**  
23.             \{  
24.                 **return** AuthorizedUser.Current.UserLoginTicket;  
25.             \}  
26.         \}  
27.   
28.         **public** **override** **void** OnAuthorization(AuthorizationContext filterContext)  
29.         \{  
30.             **base**.OnAuthorization(filterContext);  
31.   
32.             验证是否是登录用户  
33.             var identity = filterContext.HttpContext.User.Identity;  
34.             **if** (identity.IsAuthenticated)  
35.             \{  
36.                 var actionName = filterContext.ActionDescriptor.ActionName;  
37.                 var controllerName = filterContext.ActionDescriptor.ControllerDescriptor.ControllerName;  
38.   
39.                 //验证用户操作是否在权限列表中  
40.                 **if** (HasActionQulification(actionName, controllerName, identity.Name))  
41.                     **if** (!**string**.IsNullOrEmpty(UserLoginTicket))  
42.                         //有效登录用户，有权限访问此Action，则写入Cookie信息  
43.                         filterContext.HttpContext.Response.Cookies\[FormsAuthentication.FormsCookieName\].Value = UserLoginTicket;  
44.                     **else**  
45.                         //用户的Session, Cookie都过期，需要重新登录  
46.                         filterContext.HttpContext.Response.Redirect("~/Account/Login", **false**);  
47.                 **else**  
48.                     //虽然是登录用户，但没有该Action的权限，跳转到“未授权访问”页面  
49.                     filterContext.HttpContext.Response.Redirect("~/Home/UnAuthorized", **true**);  
50.             \}  
51.             **else**  
52.             \{  
53.                 //未登录用户，则判断是否是匿名访问  
54.                 var attr = filterContext.ActionDescriptor.GetCustomAttributes(**true**).OfType<AllowAnonymousAttribute>();  
55.                 **bool** isAnonymous = attr.Any(a => a **is** AllowAnonymousAttribute);  
56.   
57.                 **if** (!isAnonymous)  
58.                     //未验证（登录）的用户, 而且是非匿名访问，则转向登录页面  
59.                     filterContext.HttpContext.Response.Redirect("~/Account/Login", **true**);  
60.             \}  
61.         \}  
62.   
63.         /// <summary>  
64.         /// 从权限列表验证用户是否有权访问Action  
65.         /// </summary>  
66.         /// <param name="actionName"></param>  
67.         /// <param name="controllerName"></param>  
68.         /// <returns></returns>  
69.         **private** **bool** HasActionQulification(**string** actionName, **string** controllerName, **string** userName)  
70.         \{  
71.             //从该用户的权限数据列表中查找是否有当前Controller和Action的item  
72.             var auth = UserAuthList.FirstOrDefault(a =>  
73.             \{  
74.                 **bool** rightAction = **false**;  
75.                 **bool** rightController = a.Controller == controllerName;  
76.                 **if** (rightController)  
77.                 \{  
78.                     **string**\[\] actions = a.Actions.Split(',');  
79.                     rightAction = actions.Contains(actionName);  
80.                 \}  
81.                 **return** rightAction;  
82.             \});  
83.   
84.             //此处可以校验用户的其它权限条件  
85.             //var notAllowed = HasOtherLimition(userName);  
86.             //var result = (auth != null) && notAllowed;  
87.             //return result;  
88.   
89.             **return** (auth != **null**);  
90.         \}  
91.     \}

**\[csharp\]**  [view plain][view plain 1] [copy][view plain 1]

1. <span style="font-size:14px;">/// <summary>  
2.     /// 权限验证属性类  
3.     /// </summary>  
4.     **public** **class** RequireAuthorizeAttribute : AuthorizeAttribute  
5.     \{  
6.         /// <summary>  
7.         /// 用户权限列表  
8.         /// </summary>  
9.         **public** UserAuthModel\[\] UserAuthList  
10.         \{  
11.             **get**  
12.             \{  
13.                 **return** AuthorizedUser.Current.UserAuthList;  
14.             \}  
15.         \}  
16.   
17.         /// <summary>  
18.         /// 登录用户票据  
19.         /// </summary>  
20.         **public** **string** UserLoginTicket  
21.         \{  
22.             **get**  
23.             \{  
24.                 **return** AuthorizedUser.Current.UserLoginTicket;  
25.             \}  
26.         \}  
27.   
28.         **public** **override** **void** OnAuthorization(AuthorizationContext filterContext)  
29.         \{  
30.             **base**.OnAuthorization(filterContext);  
31.   
32.             验证是否是登录用户  
33.             var identity = filterContext.HttpContext.User.Identity;  
34.             **if** (identity.IsAuthenticated)  
35.             \{  
36.                 var actionName = filterContext.ActionDescriptor.ActionName;  
37.                 var controllerName = filterContext.ActionDescriptor.ControllerDescriptor.ControllerName;  
38.   
39.                 //验证用户操作是否在权限列表中  
40.                 **if** (HasActionQulification(actionName, controllerName, identity.Name))  
41.                     **if** (!**string**.IsNullOrEmpty(UserLoginTicket))  
42.                         //有效登录用户，有权限访问此Action，则写入Cookie信息  
43.                         filterContext.HttpContext.Response.Cookies\[FormsAuthentication.FormsCookieName\].Value = UserLoginTicket;  
44.                     **else**  
45.                         //用户的Session, Cookie都过期，需要重新登录  
46.                         filterContext.HttpContext.Response.Redirect("~/Account/Login", **false**);  
47.                 **else**  
48.                     //虽然是登录用户，但没有该Action的权限，跳转到“未授权访问”页面  
49.                     filterContext.HttpContext.Response.Redirect("~/Home/UnAuthorized", **true**);  
50.             \}  
51.             **else**  
52.             \{  
53.                 //未登录用户，则判断是否是匿名访问  
54.                 var attr = filterContext.ActionDescriptor.GetCustomAttributes(**true**).OfType<AllowAnonymousAttribute>();  
55.                 **bool** isAnonymous = attr.Any(a => a **is** AllowAnonymousAttribute);  
56.   
57.                 **if** (!isAnonymous)  
58.                     //未验证（登录）的用户, 而且是非匿名访问，则转向登录页面  
59.                     filterContext.HttpContext.Response.Redirect("~/Account/Login", **true**);  
60.             \}  
61.         \}  
62.   
63.         /// <summary>  
64.         /// 从权限列表验证用户是否有权访问Action  
65.         /// </summary>  
66.         /// <param name="actionName"></param>  
67.         /// <param name="controllerName"></param>  
68.         /// <returns></returns>  
69.         **private** **bool** HasActionQulification(**string** actionName, **string** controllerName, **string** userName)  
70.         \{  
71.             //从该用户的权限数据列表中查找是否有当前Controller和Action的item  
72.             var auth = UserAuthList.FirstOrDefault(a =>  
73.             \{  
74.                 **bool** rightAction = **false**;  
75.                 **bool** rightController = a.Controller == controllerName;  
76.                 **if** (rightController)  
77.                 \{  
78.                     **string**\[\] actions = a.Actions.Split(',');  
79.                     rightAction = actions.Contains(actionName);  
80.                 \}  
81.                 **return** rightAction;  
82.             \});  
83.   
84.             //此处可以校验用户的其它权限条件  
85.             //var notAllowed = HasOtherLimition(userName);  
86.             //var result = (auth != null) && notAllowed;  
87.             //return result;  
88.   
89.             **return** (auth != **null**);  
90.         \}  
91.     \}

4.5 业务Controller示例

**\[csharp\]**  [view plain][] [copy][view plain]

1. <span style="font-size: 14px;">
2. **public** **class** ProductController : WebControllerBase  
3. \{  
4.   
5.         \[AllowAnonymous\]  
6.         **public** ActionResult Query()  
7.         \{  
8.             **return** View("ProductQuery");  
9.         \}  
10.   
11.         \[HttpGet\]  
12.         //\[AllowAnonymous\]  
13.         \[RequireAuthorize\]  
14.         **public** ActionResult Detail(**string** id)  
15.         \{  
16.             var cookie = HttpContext.Request.Cookies;  
17.             **string** url = **base**.ApiUrl + "/Get/" + id;  
18.             HttpClient httpClient = HttpClientHelper.Create(url, **base**.UserLoginTicket);  
19.               
20.             **string** result = httpClient.GetString();  
21.             var model = JsonSerializer.DeserializeFromString<Product>(result);  
22.             ViewData\["PRODUCT\_ADD\_OR\_EDIT"\] = "E";  
23.             **return** View("ProductForm", model);  
24.         \}  
25. \}

**\[csharp\]**  [view plain][view plain 1] [copy][view plain 1]

1. <span style="font-size:14px;">**public** **class** ProductController : WebControllerBase  
2. \{  
3.   
4.         \[AllowAnonymous\]  
5.         **public** ActionResult Query()  
6.         \{  
7.             **return** View("ProductQuery");  
8.         \}  
9.   
10.         \[HttpGet\]  
11.         //\[AllowAnonymous\]  
12.         \[RequireAuthorize\]  
13.         **public** ActionResult Detail(**string** id)  
14.         \{  
15.             var cookie = HttpContext.Request.Cookies;  
16.             **string** url = **base**.ApiUrl + "/Get/" + id;  
17.             HttpClient httpClient = HttpClientHelper.Create(url, **base**.UserLoginTicket);  
18.               
19.             **string** result = httpClient.GetString();  
20.             var model = JsonSerializer.DeserializeFromString<Product>(result);  
21.             ViewData\["PRODUCT\_ADD\_OR\_EDIT"\] = "E";  
22.             **return** View("ProductForm", model);  
23.         \}  
24. \}

5.  WebApi 服务端代码示例

5.1 控制器基类ApiControllerBase

**\[csharp\]**  [view plain][] [copy][view plain]

1. /// <summary>  
2. /// Controller的基类，用于实现适合业务场景的基础功能  
3. /// </summary>  
4. /// <typeparam name="T"></typeparam>  
5. \[BasicAuthentication\]  
6. **public** **abstract** **class** ApiControllerBase : ApiController  
7. \{  
8.   
9. \}

**\[csharp\]**  [view plain][view plain 1] [copy][view plain 1]

5.2 权限属性BaseAuthenticationAttribute

**\[csharp\]**  [view plain][] [copy][view plain]

1. /// <summary>  
2.     /// 基本验证Attribtue，用以Action的权限处理  
3.     /// </summary>  
4.     **public** **class** BasicAuthenticationAttribute : ActionFilterAttribute  
5.     \{  
6.         /// <summary>  
7.         /// 检查用户是否有该Action执行的操作权限  
8.         /// </summary>  
9.         /// <param name="actionContext"></param>  
10.         **public** **override** **void** OnActionExecuting(HttpActionContext actionContext)  
11.         \{  
12.             //检验用户ticket信息，用户ticket信息来自调用发起方  
13.             **if** (actionContext.Request.Headers.Authorization != **null**)  
14.             \{  
15.                 //解密用户ticket,并校验用户名密码是否匹配  
16.                 var encryptTicket = actionContext.Request.Headers.Authorization.Parameter;  
17.                 **if** (ValidateUserTicket(encryptTicket))  
18.                     **base**.OnActionExecuting(actionContext);  
19.                 **else**  
20.                     actionContext.Response = **new** HttpResponseMessage(HttpStatusCode.Unauthorized);                     
21.             \}  
22.             **else**  
23.             \{  
24.                 //检查web.config配置是否要求权限校验  
25.                 **bool** isRquired = (WebConfigurationManager.AppSettings\["WebApiAuthenticatedFlag"\].ToString() == "true");  
26.                 **if** (isRquired)  
27.                 \{  
28.                     //如果请求Header不包含ticket，则判断是否是匿名调用  
29.                     var attr = actionContext.ActionDescriptor.GetCustomAttributes<AllowAnonymousAttribute>().OfType<AllowAnonymousAttribute>();  
30.                     **bool** isAnonymous = attr.Any(a => a **is** AllowAnonymousAttribute);  
31.   
32.                     //是匿名用户，则继续执行；非匿名用户，抛出“未授权访问”信息  
33.                     **if** (isAnonymous)  
34.                         **base**.OnActionExecuting(actionContext);  
35.                     **else**  
36.                         actionContext.Response = **new** HttpResponseMessage(HttpStatusCode.Unauthorized);  
37.                 \}  
38.                 **else**  
39.                 \{  
40.                     **base**.OnActionExecuting(actionContext);  
41.                 \}  
42.             \}  
43.         \}  
44.   
45.         /// <summary>  
46.         /// 校验用户ticket信息  
47.         /// </summary>  
48.         /// <param name="encryptTicket"></param>  
49.         /// <returns></returns>  
50.         **private** **bool** ValidateUserTicket(**string** encryptTicket)  
51.         \{  
52.             var userTicket = FormsAuthentication.Decrypt(encryptTicket);  
53.             var userTicketData = userTicket.UserData;  
54.   
55.             **string** userName = userTicketData.Substring(0, userTicketData.IndexOf(":"));  
56.             **string** password = userTicketData.Substring(userTicketData.IndexOf(":") + 1);  
57.   
58.             //检查用户名、密码是否正确，验证是合法用户  
59.             //var isQuilified = CheckUser(userName, password);  
60.             **return** **true**;  
61.         \}  
62.     \}

**\[csharp\]**  [view plain][view plain 1] [copy][view plain 1]

5.3 api服务Controller实例

**\[csharp\]**  [view plain][] [copy][view plain]

1. **public** **class** ProductController : ApiControllerBase  
2. \{  
3.   
4.         \[HttpGet\]  
5.         **public** **object** Find(**string** id)  
6.         \{  
7.             **return** ProductServiceInstance.Find(2);  
8.         \}  
9.   
10.      // GET api/product/5  
11.         \[HttpGet\]  
12.         \[AllowAnonymous\]  
13.         **public** Product Get(**string** id)  
14.         \{  
15.             var headers = Request.Headers;  
16.             var p = ProductServiceInstance.GetById<Product, EPProduct>(**long**.Parse(id));  
17.             **if** (p == **null**)  
18.             \{  
19.                   **throw** **new** HttpResponseException(**new** HttpResponseMessage(HttpStatusCode.BadRequest)  
20.                   Content = **new** StringContent("id3 not found"), ReasonPhrase = "product id not exist." \});  
21.             \}  
22.             **return** p;  
23.         \}  
24. \}

**\[csharp\]**  [view plain][view plain 1] [copy][view plain 1]

6. 其它配置说明

6.1 Mvc前端Web.Config 配置

**\[html\]**  [view plain][] [copy][view plain]

1. **<****system.web****>**  
2.     **<****compilation** debug="true" targetFramework="4.5"**>**  
3.       **<****assemblies****>**  
4.         **<****add** assembly="System.Web.Http.Data.Helpers, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" **/>**  
5.       **</****assemblies****>**  
6.     **</****compilation****>**  
7.     **<****httpRuntime** targetFramework="4.5" **/>**  
8.     **<****authentication** mode="Forms"**>**  
9.       **<****forms** loginUrl="~/Account/Login" defaultUrl="~/Home/Index" protection="All" timeout="90" name=".AuthCookie"**>****</****forms****>**  
10.     **</****authentication****>**  
11.     **<****machineKey** validationKey="3FFA12388DDF585BA5D35E7BC87E3F0AB47FBBEBD12240DD3BEA2BEAEC4ABA213F22AD27E8FAD77DCFEE306219691434908D193A17C1FC8DCE51B71A4AE54920" decryptionKey="ECB6A3AF9ABBF3F16E80685ED68DC74B0B13CCEE538EBBA97D0B893139683B3B" validation="SHA1" decryption="AES" **/>**  
12. **</****system.web****>**

**\[html\]**  [view plain][view plain 1] [copy][view plain 1]

machineKey节点配置，是应用于对用户ticket数据加密和解密。

6.2 WebApi服务端Web.Config配置

**\[html\]**  [view plain][] [copy][view plain]

1.  **<****system.web****>**  
2.     **<****machineKey** validationKey="3FF112388DDF585BA5D35E7BC87E3F0AB47FBBEBD12240DD3BEA2BEAEC4ABA213F22AD27E8FAD77DCFEE306219691434908D193A17C1FC8DCE51B71A4AE54920" decryptionKey="ECB6A3AF9ABBF3F16E80685ED68DC74B0B13CCEE538EBBA97D0B893139683B3B" validation="SHA1" decryption="AES" **/>**  
3. **</****system.web****>**

**\[html\]**  [view plain][view plain 1] [copy][view plain 1]

machineKey节点配置，是应用于对用户ticket数据加密和解密。

7. 总结

Web系统的用户登录及页面操作权限验证在处理逻辑上比较复杂，需要考虑到Form认证、匿名访问，Session和Cookie存储，以及Session和Cookie的过期处理，本文实现了整个权限验证框架的基本功能，供系统[架构][Link 4]设计人员以及Web开发人员参考。

[Web_WebApi]: http://blog.csdn.net/zjlovety/article/details/17095627
[Link 1]: http://blog.csdn.net/zjlovety/article/details/17095627#comments
[Link 2]: http://blog.csdn.net/zjlovety/article/details/17095627#report
[category_icon.jpg]: /images/20220713/614eebf2fe804c1aa1f2a253771653a5.png
[arrow_triangle_20_down.jpg]: /images/20220713/b03e4e51265a4be39e42dc11b864cb75.png
[1358486849_2436.png]: https://img-my.csdn.net/uploads/201301/18/1358486849_2436.png
[9293541]: /images/20220713/a80a2bad84214b31be3bc801b7925d08.png
[Link 3]: http://lib.csdn.net/base/mysql
[view plain]: http://blog.csdn.net/besley/article/details/8516894#
[view plain 1]: /images/20220713/a80a2bad84214b31be3bc801b7925d08.png#
[Link 4]: http://lib.csdn.net/base/architecture