Jak działa tag Authorize? - ASP.NET MVC

Question

W jaki sposób znacznik Authorize określa, czy użytkownik jest autoryzowany, czy nie?

Podobno jeśli użytkownik się zaloguje i spróbuje przejść do widoku z tagiem Autoryzuj. W jaki sposób określa, czy użytkownik jest autoryzowany, czy nie? Czy robi zapytanie do bazy danych i sprawdza?

A może przejdą do widoku z autoryzacją roli? Czy wysyła zapytanie do tabeli ról członkostwa?

Zastanawiam się, ponieważ mam to, co tabele członkostwa ASP.NET uważa zduplikowane nazwy użytkownika. Używam poważnych pól, aby określić, który użytkownik jest tym, co pozwala użytkownikom na posiadanie tego samego duplikatu nazwy użytkownika, ale nadal jest unikalny w mojej bazie danych.

To spowodowało, że musiałem napisać niestandardowe metody dla wielu elementów członkowstwa .NET, ponieważ wszystkie używały "userName" do wyszukiwania zamiast używania UserId.

Więc teraz zastanawiam się, czy może tak być w przypadku znacznika Authorize. Ponieważ nie mam pojęcia, jak to działa i jakbym nie używał członkostwa .NET, nie miałbym pojęcia, jak to określić.

Answer 1

Znacznik Authorize wykorzystuje wszystkie wbudowane kontrole członkowskie z ASP.NET. Radzenie sobie z własnym znacznikiem jest BARDZO proste. Na przykład:

public class MyAuthorize : AuthorizeAttribute 
{ 
    protected override bool AuthorizeCore(HttpContextBase httpContext) 
    { 
     if (httpContext == null) throw new ArgumentNullException("httpContext"); 

     // Make sure the user is authenticated. 
     if (httpContext.User.Identity.IsAuthenticated == false) return false; 

     // Do you own custom stuff here 
     bool allow = CheckIfAllowedToAccessStuff(); 

     return allow; 
    } 
} 

Następnie można użyć tagu [MyAuthorize] który będzie używać niestandardowych kontroli.

Answer 2

ControllerActionInvoker analizuje atrybut i wywołuje na nim OnAuthorization(), gdy nadchodzi czas sprawdzania poświadczeń.

Metoda AuthorizationAttribute.OnAuthorization() zasadniczo sprawdza, czy User.Identity.IsAuthenticated jest prawdziwa, czy też nie. To po prostu rysuje funkcjonalność FormsAuthentication lub jakikolwiek inny schemat uwierzytelniania, którego używasz.