前言
接上面两篇 0_MVC+EF+Autofac(dbfirst)轻型项目框架_基本框架 与 1_MVC+EF+Autofac(dbfirst)轻型项目框架_core层(以登陆为例) 。在第一篇中介绍了此架构的基本分层，在第二篇中，以登陆功能为例，介绍了项目的代码结构。在本篇中将通过过滤器实现用户权限验证功能。
同样，文中有问题的地方欢迎批评指正！谢谢！
开发背景
在一个常规系统中权限验证是不可缺的，在较简单的系统中，用户只会被简单归为登陆用户和游客，而在较为复杂的系统中，除了判断用户是否登陆外，还需提供一套可靠的机制来验证用户是否拥有执行其请求的操作的权限。在ASP.Net MVC框架中的AuthorizeAttribute过滤器很好的满足了这个要求。在我项目中，也是通过AuthorizeAttribute来实现对用户权限的判断。其中为了便捷，引入了Helper类来统一管理所有的Session和Cookie。
创建过程
1.权限验证模式与表结构
MVC框架中存在的控制器提供了很好的权限范围的单位，所以在我的框架中，权限是验证是以过滤器为基础的，一个过滤器代表一个权限，不同的身份拥有不同的权限集合，而每一个用户归属于一个身份。例如用户甲的身份为超级管理员身份，他可能同时具有A,B,C,D,E,F这六个权限；而权限相对较低的用户乙为普通管理员身份，他可能仅仅具备A,B,C,D这四个权限。
数据库的表结构如下图:
可以看到，在教师表中存在一个字段用来标志对应的Power的ID（PID），power表记录所有身份（power这个词用的有点怪 ：-）），Authority表中记录了所有权限，解释下Authority中每一个字段的具体含义：
AUID：该权限的对应ID。
AUPID：该权限隶属的父权限，例如：学生管理，教师管理的父级权限可能为管理中心。
Name：权限的名字。
AOrder：为了方便将权限转化为用户可见的控件操作树，安排权限的排名先后顺序。
URL：这个权限所对应打开的URL。
Controller：这个权限对应的控制器。
Power与Authority之间的AuthorityToPower映射了每一个身份所拥有的权限。
2.AuthorizeAttribute过滤器
在介绍AuthorizeAttribute之前有必要先介绍下我web的结构，通过下图可以看到在根路由两个控制器的基础上，我还拥有两个区域，分别为学生和教师。所以在AuthorizeAttribute过滤器中，通过判断区域名来实施具体的权限验证操作。结合业务逻辑，在学生区域下，过滤器的功能仅仅是判断学生的登陆状态，如未登陆跳转到登陆界面；而在教师区域下，除了要判断是否登陆外还要判断其所请求的控制器是否在他的权限集合中。
AuthorizeAttribute中代码如下
using EDUA_ICore;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc; namespace EDUA_WEB.Filters
{
/// <summary>
/// 身份（权限）过滤器
/// </summary>
public class MyAuthorizeAttribute:AuthorizeAttribute
{
/// <summary>
/// core操作上下文
/// </summary>
private ICoreSession iCoreSession; #region 构造方法 传入过滤器
public MyAuthorizeAttribute(ICoreSession iCoreSession)
{
this.iCoreSession = iCoreSession;
}
#endregion #region 重写权限验证器
public override void OnAuthorization(AuthorizationContext filterContext)
{
//检测是否贴有跳过标签
if (!DoesSkip<Filters.SkipAttribute>(filterContext))
{
//获取区域名
string strArea = "AreaIsNull";
if (filterContext.RouteData.DataTokens.Count > )
{
strArea = filterContext.RouteData.DataTokens["area"].ToString().ToLower();
}
//获取控制器名
string strController = filterContext.RouteData.Values["controller"].ToString().ToLower();
//获取方法名
string strAction = filterContext.RouteData.Values["action"].ToString().ToLower(); //filterContext.HttpContext.Response.Write(strArea + "--" + strController + "--" + strAction);
OperateHelper.BussinessHelper h = new OperateHelper.BussinessHelper(iCoreSession);
//学生域之下
if (strArea == "student")
{
if (h.StudentSession == null)
{
filterContext.Result = new RedirectResult("/home/login");
}
}
//教师域之下
else if (strArea == "teacher")
{
if (h.TeacherSession == null)
{
//如果在主页控制器下 则直接跳转 其他 提示过期
if (strController == "teacherhome")
{
//filterContext.HttpContext.Response.Redirect("/home/login");
filterContext.Result = new RedirectResult("/home/login");
}
else
{
filterContext.HttpContext.Response.Write("登陆已过期，请刷新页面");
filterContext.HttpContext.Response.End();
} }
else
{
//判断是否对应权限
if (!CheckPermission(strController, h.TeacherSession.AuthorityList))
{
filterContext.HttpContext.Response.Write("你的请求超出了你的权限,如修改过系统权限，请重新登录系统");
filterContext.HttpContext.Response.End();
}
}
}
}
}
#endregion #region 检测是否贴有某标签 + bool DoesSkip<T>(AuthorizationContext filterContext) where T : Attribute
/// <summary>
/// 检测是否贴有某标签
/// </summary>
/// <typeparam name="T">标签type</typeparam>
/// <param name="filterContext">上下文</param>
/// <returns>是否贴有标签</returns>
bool DoesSkip<T>(AuthorizationContext filterContext) where T : Attribute
{
if (!filterContext.ActionDescriptor.IsDefined(typeof(T), false) && !filterContext.ActionDescriptor.ControllerDescriptor.IsDefined(typeof(T), false))
{
return false;
}
return true;
}
#endregion #region 检验访问的管理员控制器是否与权限对应 + bool CheckPermission(string strController, List<WebModel.Authority> aul)
/// <summary>
/// 检验访问的管理员控制器是否与权限对应
/// </summary>
/// <param name="filterContext">控制器名</param>
/// <param name="permission">权限列表</param>
/// <returns>是否有权限</returns>
private bool CheckPermission(string strController, List<WebModel.Authority> aul)
{
bool ret = false;
//将请求的控制器名与权限session中的控制器表进行匹配 如果有，则匹配通过
for (int i = ; i < aul.Count(); i++)
{
if (aul[i].Controller.ToLower() == strController)
{
ret = true;
break;
}
}
return ret;
}
#endregion
}
}
MyAuthorizeAttribute继承于AuthorizeAttribute，想要了解他的工作原理需要深入学习Asp.Net MVC的生命周期，网上已经有很多资料，在此就不赘述了。
86行的DoesSkip利用反射来判断待检测的控制器是否贴有跳过检测的标签，如有DoesSkip标签则跳过检测直接访问。这是因为在Global中注册了全局过滤器，如果对类似于登陆操作的控制器也执行权限验证，这将是一个无限的死循环。所以需要在HelperController与HomeController等控制器上添上Skip标签。
具体验证功能是怎么实现的，参考代码上的注释。
3.统一管理Session与Cookie
也许你已经注意到了，在上面的过滤器中，存在一个BussinessHelper类，其实它的名字和它的功能并没有很大的联系，只是当初在整合时用了原先的部分代码，而又没有修改类名，这个类所实现的功能只是统一管理所有的Session与Cookie信息，并没有其他复杂的业务上的操作。完整代码如下
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.SessionState; namespace EDUA_WEB.OperateHelper
{
public class BussinessHelper
{
#region 对象保存名称
/// <summary>
/// 验证码保存名
/// </summary>
const string VCODE = "vcode";
/// <summary>
/// 教师信息保存名
/// </summary>
const string TEACHER_INFOKEY = "tinfo";
/// <summary>
/// 学生信息保存名
/// </summary>
const string STUDENT_INFOKEY = "sinfo";
#endregion #region 构造方法
public BussinessHelper() { } /// <summary>
/// 构造方法
/// </summary>
/// <param name="coreSession">业务操作对象</param>
public BussinessHelper(EDUA_ICore.ICoreSession coreSession)
{
this.iCoreSession = coreSession;
}
#endregion #region http上下文的对象们
/// <summary>
/// 业务操作对象
/// </summary>
private EDUA_ICore.ICoreSession iCoreSession { get; set; } /// <summary>
/// 当前Http上下文
/// </summary>
private HttpContext ContextHttp
{
get
{
return HttpContext.Current;
}
} /// <summary>
/// session对象
/// </summary>
private HttpSessionState Session
{
get
{
return ContextHttp.Session;
}
} /// <summary>
/// Cookie对象
/// </summary>
private HttpCookieCollection Cookies
{
get
{
return ContextHttp.Request.Cookies;
}
} /// <summary>
/// Response 对象
/// </summary>
HttpResponse Response
{
get
{
return ContextHttp.Response;
}
}
#endregion #region 验证码session对象
/// <summary>
/// 验证码session设置
/// </summary>
public string Vcode
{
get
{
if (Session[VCODE] == null)
return "";
return Session[VCODE].ToString();
}
set
{
Session[VCODE] = value;
}
}
#endregion #region 学生对象session操作
/// <summary>
/// 学生类session
/// </summary>
public WebModel.Student StudentSession
{
get
{
WebModel.Student student = Session[STUDENT_INFOKEY] as WebModel.Student;
if (student == null)
{
string id = this.StudentSIDCookie;
if (id == "")
{
return null;
}
WebModel.ReturnVal rv = iCoreSession.IStudent.GetStudentBySID(id);
if (rv.Statu == WebModel.ReturnStatu.Success)
{
student = rv.Data as WebModel.Student;
//写入session
Session[STUDENT_INFOKEY] = student;
}
else
{
return null;
} }
return student;
}
set
{
Session[STUDENT_INFOKEY] = value;
}
}
#endregion #region 学生对象cookie操作
public string StudentSIDCookie
{
get
{
if (Cookies[STUDENT_INFOKEY] == null)
{
return "";
}
else
{
return EDUA_Util.EncrypHelper.DeEncryp(Cookies[STUDENT_INFOKEY].Value.ToString());
}
}
set
{
HttpCookie cookie = new HttpCookie(STUDENT_INFOKEY, EDUA_Util.EncrypHelper.ToEncryp(value.ToString()));
cookie.Expires = DateTime.Now.AddHours();
Response.Cookies.Add(cookie);
}
}
#endregion #region 教师对象Session操作
public WebModel.Teacher TeacherSession
{
get
{
WebModel.Teacher teacher = Session[TEACHER_INFOKEY] as WebModel.Teacher;
if (teacher == null)
{
string id = this.TeacherTIDCookie;
if (id == "")
{
return null;
}
WebModel.ReturnVal rv = iCoreSession.ITeacher.GetTeacherByID(id);
if (rv.Statu == WebModel.ReturnStatu.Success)
{
teacher = rv.Data as WebModel.Teacher;
Session[TEACHER_INFOKEY] = teacher;
}
else
{
return null;
}
}
return teacher;
}
set
{
Session[TEACHER_INFOKEY] = value;
}
}
#endregion #region 教师对象Cookie操作
public string TeacherTIDCookie
{
get
{
if (Cookies[TEACHER_INFOKEY] == null)
{
return "";
}
else
{
return EDUA_Util.EncrypHelper.DeEncryp(Cookies[TEACHER_INFOKEY].Value.ToString());
}
}
set
{
HttpCookie cookie = new HttpCookie(TEACHER_INFOKEY, EDUA_Util.EncrypHelper.ToEncryp(value.ToString()));
cookie.Expires = DateTime.Now.AddHours();
Response.Cookies.Add(cookie);
}
}
#endregion }
}
它的构造方法需要传入核心类实例，因为当保存在客户端的Session过期，而用户又保存了Cookie的情况下，需要通过对加密的Cookie解密来产生新的session保存并返回。所以这里需要在Core中的teacher和student中添加对应的根据GUID返回教师（学生）实体的方法。
在前一篇登陆操作中，也使用了这个类，所要说明的是在teacher对象中，教师的权限列表在登陆时被取出放入了Session中，可以防止每一次验证连接数据库，减轻数据库负担。
4.生成对应权限菜单（树）
这里我采用了EasyUI的异步加载来生成权限访问列表，效果如下图
在它的左侧为其对应权限列表映射的权限树。对应生成权限树的控制器代码如下
#region 1.1 生成左侧菜单
public ActionResult GetMenuData()
{
OperateHelper.BussinessHelper h = new OperateHelper.BussinessHelper();
List<WebModel.Authority> authList = h.TeacherSession.AuthorityList;
List<WebModel.EasyUIModel.TreeNode> tl = WebModel.EasyUIModel.TreeNode.getTreeNodeListByAuModelList(authList);
return Content(EDUA_Util.WEB.DataHelper.Obj2Json(tl));
}
#endregion
可以看到，它的权限列表也是从session中取出，并不需要再次连接数据库。具体的easyui的代码因为不涉及到框架本身，所以我就不提供了。
写在最后
到这里，一个轻型框架已经可使用了。
最后说下关于分享源代码的问题：
我当初写这三篇博客的出发点：第一是为了理清我的思路，第二为将来可能接手系统的同学提供扩展开发时的参考，所以我并没有把这些文章分享到博客园的首页。但还是谢谢一些关注到这些文章的朋友。有一些朋友通过微博等问我能不能给下源代码，其实大多数的核心的代码在以上三篇文章中都已经给出了，如果仔细看完一定是能形成框架。至于完整的源代码，因为已经存在不少的业务上的内容，重新整理需要不少时间，也不切实际，所以恕我不能打包上传了，但还是谢谢大家的关注。如果有需要交流的，可以私信我的新浪微博@导弹林瀚，再次谢谢大家！
转载请注明出处 huhuhuo的博客园
地址：http://www.cnblogs.com/linhan/p/4320862.html