asp.net過濾器如何實現權限控制

在ASP.NET中，過濾器（Filter）是一種用于處理HTTP請求和響應的組件，可以在請求到達應用程序之前或響應返回給客戶端之前執行一些操作。要實現權限控制，你可以創建一個自定義的權限過濾器，然后在需要控制權限的控制器或操作方法上應用該過濾器。

以下是實現權限控制的步驟：

1. 創建自定義權限過濾器：

首先，創建一個繼承自IAuthorizationFilter接口的自定義過濾器類。在這個類中，實現OnAuthorization方法，用于執行權限檢查邏輯。

using System.Threading.Tasks;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Http;

public class CustomPermissionFilter : IAuthorizationFilter
{
    public Task OnAuthorizationAsync(AuthorizationFilterContext context)
    {
        // 在這里實現權限檢查邏輯
    }
}

2. 在OnAuthorizationAsync方法中實現權限檢查邏輯：

在OnAuthorizationAsync方法中，你可以使用context.User屬性獲取當前用戶的信息，然后根據你的權限系統進行權限檢查。如果用戶沒有足夠的權限執行請求的操作，可以返回一個HttpStatusCode.Forbidden狀態碼，否則繼續執行后續操作。

public Task OnAuthorizationAsync(AuthorizationFilterContext context)
{
    if (context.User.IsInRole("Admin")) // 假設只有管理員角色具有訪問權限
    {
        return Task.CompletedTask;
    }

    context.Result = new ForbiddenResult();
    return Task.CompletedTask;
}

3. 在控制器或操作方法上應用自定義權限過濾器：

要應用自定義權限過濾器，只需在控制器或操作方法的[Authorize]屬性中指定過濾器名稱即可。

[Authorize(Name = "CustomPermissionFilter")]
public class MyController : Controller
{
    // ...
}

或者，你可以在過濾器配置中全局注冊自定義權限過濾器：

public void ConfigureServices(IServiceCollection services)
{
    services.AddControllersWithViews(options =>
    {
        options.Filters.Add<CustomPermissionFilter>();
    });
}

這樣，所有控制器和操作方法都會應用自定義權限過濾器，從而實現全局權限控制。