浅谈ASP.NET MVC Membership权限机制(ASP.NET MVC Membership权限机制详解与实践)

原创

ithorizon 7个月前 (10-20) 阅读数 17 #后端开发

ASP.NET MVC Membership权限机制详解与实践

在当今的网络应用中，权限管理是不可或缺的一部分。ASP.NET MVC Membership提供了一套完整的用户认证和权限管理机制，令开发者可以轻松地实现用户注册、登录、角色分配以及权限控制等功能。本文将详细介绍ASP.NET MVC Membership权限机制的概念、原理以及实践应用。

一、ASP.NET MVC Membership简介

ASP.NET MVC Membership是ASP.NET MVC框架中用于管理用户认证和权限控制的一个组件。它提供了一套标准的用户存储模型，包括用户信息、密码、角色等。开发者可以通过配置Membership提供者来使用不同的用户存储方法，如SQL Server、Active Directory等。

二、Membership权限机制核心组件

ASP.NET MVC Membership权限机制关键包括以下几个核心组件：

Membership：用于管理用户认证和权限控制的核心接口。

MembershipProvider：实现Membership接口的具体提供者，用于与用户存储进行交互。

RoleProvider：用于管理角色的提供者，与MembershipProvider配合使用。

MembershipUser：描述当前登录用户的对象。

三、Membership权限机制实现原理

ASP.NET MVC Membership权限机制关键分为以下几个步骤：

用户注册：用户填写注册信息， MembershipProvider将用户信息存储到用户存储中。

用户登录：用户输入用户名和密码， MembershipProvider验证用户信息的正确性，如果验证通过，则生成MembershipUser对象并存储在HttpContext中。

角色分配：开发者可以给用户分配角色， RoleProvider负责管理角色信息。

权限控制：在执行操作前，开发者可以通过MembershipUser对象判断当前用户是否具有相应权限。

四、实践：使用ASP.NET MVC Membership实现权限控制

下面将通过一个示例来演示怎样使用ASP.NET MVC Membership实现权限控制。

4.1 创建项目

首先，创建一个空的ASP.NET MVC项目，并添加以下引用：

System.Web.Mvc

System.Web.Routing

System.Web.Security

4.2 配置Membership提供者

在Web.config文件中配置Membership提供者，如下所示：


<configuration>
  <system.web>
    <membership defaultProvider="SqlProvider" userIsOnlineTimeWindow="20" 
      requiresQuestionAndAnswer="false" 
      requiresUniqueEmail="false" 
      passwordFormat="Hashed" 
      passwordStrengthRegularExpression=")^[\w-]*$">
      <providers>
        <clear/>
        <add name="SqlProvider" 
          type="System.Web.Security.SqlMembershipProvider" 
          connectionStringName="LocalSqlServer" 
          enablePasswordRetrieval="false" 
          enablePasswordReset="true" 
          requiresQuestionAndAnswer="false" 
          requiresUniqueEmail="false" 
          maxInvalidPasswordAttempts="5" 
          minRequiredPasswordLength="6" 
          minRequiredNonalphanumericCharacters="1" 
          passwordAttemptWindow="5" 
          applicationName="/" />
      </providers>
    </membership>
  </system.web>
  
  <connectionStrings>
    <add name="LocalSqlServer" connectionString="Data Source=.\SQLEXPRESS;AttachDbFilename=|DataDirectory|\aspnetdb.mdf;Initial Catalog=aspnetdb;Integrated Security=True" providerName="System.Data.SqlClient" />
  </connectionStrings>
</configuration>

4.3 创建用户注册和登录界面

创建一个名为Account的控制器，添加Register和Login方法，如下所示：


public class AccountController : Controller
{
    // GET: /Account/Register
    public ActionResult Register()
    {
        return View();
    }
    // POST: /Account/Register
    [HttpPost]
    public ActionResult Register(RegisterViewModel model)
    {
        if (ModelState.IsValid)
        {
            // 尝试注册用户
            MembershipCreateStatus createStatus;
            Membership.CreateUser(model.UserName, model.Password, model.Email, null, null, true, null, out createStatus);
            if (createStatus == MembershipCreateStatus.Success)
            {
                FormsAuthentication.SetAuthCookie(model.UserName, false);
                return RedirectToAction("Index", "Home");
            }
            else
            {
                ModelState.AddModelError("", ErrorCodeToString(createStatus));
            }
        }
        // 如果我们进行到这一步时某个地方出错，则重新显示表单
        return View(model);
    }
    // GET: /Account/Login
    public ActionResult Login()
    {
        return View();
    }
    // POST: /Account/Login
    [HttpPost]
    public ActionResult Login(LoginViewModel model, string returnUrl)
    {
        if (ModelState.IsValid)
        {
            if (Membership.ValidateUser(model.UserName, model.Password))
            {
                FormsAuthentication.SetAuthCookie(model.UserName, model.RememberMe);
                if (Url.IsLocalUrl(returnUrl) && returnUrl.Length > 1 && returnUrl.StartsWith("/")
                    && !returnUrl.StartsWith("//") && !returnUrl.StartsWith("/\\"))
                {
                    return Redirect(returnUrl);
                }
                else
                {
                    return RedirectToAction("Index", "Home");
                }
            }
            else
            {
                ModelState.AddModelError("", "提供的用户名或密码不正确。");
            }
        }
        // 如果我们进行到这一步时某个地方出错，则重新显示表单
        return View(model);
    }
}

4.4 角色管理

在ASP.NET MVC中，角色管理可以通过RoleProvider实现。以下是怎样为用户分配角色的示例代码：


public class RolesController : Controller
{
    // GET: /Roles/AssignRoles
    public ActionResult AssignRoles(string username)
    {
        var userRoles = Roles.GetRolesForUser(username);
        var allRoles = Roles.GetAllRoles();
        var viewModel = new AssignRolesViewModel
        {
            UserName = username,
            UserRoles = userRoles,
            AllRoles = allRoles
        };
        return View(viewModel);
    }
    // POST: /Roles/AssignRoles
    [HttpPost]
    public ActionResult AssignRoles(AssignRolesViewModel model)
    {
        if (ModelState.IsValid)
        {
            // 先移除所有角色
            foreach (var role in model.UserRoles)
            {
                Roles.RemoveUserFromRole(model.UserName, role);
            }
            // 添加选中的角色
            foreach (var role in model.SelectedRoles)
            {
                Roles.AddUserToRole(model.UserName, role);
            }
            return RedirectToAction("Index", "Home");
        }
        return View(model);
    }
}

4.5 权限控制

在ASP.NET MVC中，权限控制可以通过自定义AuthorizeAttribute实现。以下是怎样制约访问特定操作的示例代码：


public class AdminAuthorizeAttribute : AuthorizeAttribute
{
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        var user = httpContext.User;
        if (user == null || !user.Identity.IsAuthenticated)
        {
            return false;
        }
        var roles = user.GetRoles();
        return roles.Contains("Admin");
    }
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        filterContext.Result = new RedirectToRouteResult(
            new RouteValueDictionary(
                new { controller = "Account", action = "Login" }));
    }
}

然后，在需要权限控制的控制器方法上使用该属性，如下所示：


[AdminAuthorize]
public ActionResult Index()
{
    // 只有管理员可以访问的方法
    return View();
}

五、总结

ASP.NET MVC Membership权限机制为开发者提供了一套升级更新的用户认证和权限管理方案。通过配置Membership提供者、创建用户注册和登录界面、角色管理以及权限控制，开发者可以轻松实现一个稳固的网络应用。在实际开发过程中，开发者还需要按照具体需求对Membership权限机制进行定制和优化，以满足不同的业务场景。

文章标签：后端开发