ASP.NET MVC 3自定义身份验证/授权
我在互联网上搜索过，所以我发现了一些关于这个主题的好东西，但是我还有一些问题我仍然不确定：
1）我正在使用表单身份验证与自定义身份验证提供程序。 因此，我仍然使用Authorize属性和web.config中的部分，但基本上当FormsAuthenticationTicket不存在时，我重定向到登录页面（在web.config中指定），然后使用自定义身份验证提供程序来授权用户对数据库，然后发布FormsAuthenticationTicket 。 它是否正确？
2）我应该使用自定义的Authorize属性，还是应该从Global.asax页面的Application_AuthenticateRequest事件处理程序中将GenericPrincipal注入到HttpContext中？ 或者我应该使用控制器操作的User.IsInRole insode？
我只需要基于角色的授权，我认为我的认证方案非常好。
任何指针/建议？
谢谢，山姆
编辑
所以从我读过的内容来看，最好的选择是创建一个自定义的AuthorizeAttribute并覆盖AuthorizeCore 。
所以我所做的是这样的：
public class CustomAuthorize : System.Web.Mvc.AuthorizeAttribute
{
protected override bool AuthorizeCore(HttpContextBase httpContext)
{
if (httpContext.User.Identity.IsAuthenticated)
{
var model = AdminUserViewModel.FromJsonString(((FormsIdentity)httpContext.User.Identity).Ticket.UserData);
httpContext.User = new GenericPrincipal(HttpContext.Current.User.Identity, model.SecurityGroups.Select(x => x.Name).ToArray());
}
return base.AuthorizeCore(httpContext);
}
protected override void HandleUnauthorizedRequest(System.Web.Mvc.AuthorizationContext filterContext)
{
//base.HandleUnauthorizedRequest(filterContext);
filterContext.Result = new System.Web.Mvc.RedirectResult("/Authentication/NotAuthorized", false);
}
}
只需将一个新的主体/身份与存储在FormsAuthenticationTicket UserData属性中的角色一起注入即可。 然后让基地完成剩下的工作。
这似乎是好的吗？
编辑＃2
我有点厌倦了在IIS7中使用global.asax中的Application_AuthenticateRequest ，因为集成管道，每个请求都会触发该事件，图像，css，js ...
它是否正确？
1）我做同样的事情。
2）我使用Authorize属性和Application_AuthenticateRequest事件处理程序。
在Application_AuthenticateRequest事件处理程序中，我做了这样的事情：
string[] roles = authenticationTicket.UserData.Split(',');
if (Context.User != null)
Context.User = new GenericPrincipal(Context.User.Identity, roles);
而在控制器或行动级别，我会这样做：
[Authorize(Roles = "Admin, SuperAdmin")]