是否有更好的方法在ASP中实现基于角色的访问。NET框架？

Question

基本上，我已经花了几天的时间试图找出如何在我为朋友开发的网站上添加简单的管理员和成员角色。（我正在使用ASP.NET Framework 5.2.7.0）。我知道Microsoft内置了一个很好的基于角色的访问功能，它允许您在控制器的顶部放置类似于[Authorize role=（“Admin”）的内容；但是我根本无法让它工作，我找到的大多数资源都是用于ASP.NET Core的。

我试着修改我的网页。配置文件以启用基于角色的访问（并希望将角色等迁移到我的数据库）。但由于我一直无法解决这些问题，我试着走一条更黑的路线。（**我不是一名高级程序员，我已经做了大约一年了，我绝不是一名专业人士）。这就是我在尝试验证用户是否是管理员时基本上想到的（这也不起作用）。

 [Authorize]
    public class AdminController : Controller
    {
        private LDSXpressContext db = new LDSXpressContext();

        public ActionResult AdminPortal()
        {
            IsAdmin();
            return View();
        }

        private ActionResult IsAdmin()
        {
            string name = User.Identity.Name;
            //The User.Identity.Name stores the user email when logged in
            var currentUserObject = db.accounts.Where(x => x.clientEmail == name);

            Account currentUser = new Account();
            foreach (var user in currentUserObject)
            {
                //I loop through the results, even though only one user should 
                //be stored in the var CurrentUserObject because it's the only 
                //way I know how to assign it to an object and get its values.
                currentUser = user;
            }

            if (currentUser.role == 2) //the number 2 indicates admin in my db
            {
                return null;
            }
            else
            {
           //Even when this is hit, it just goes back and returns the 
           //AdminPortal view
                return RedirectToAction("Index", "Home");
            }
        }
    }

现在我几乎可以肯定，这不是一种非常安全的检查登录用户是否是管理员的方法，但我希望它至少能起作用。我的想法是，当有人试图访问AdminPortal时，IsAdmin方法将运行并检查用户是否是数据库中的管理员。如果是，则返回null并显示AdminPortal视图；如果不是管理员，则重定向到主页上的索引视图。但是，AdminPortal页面总是向任何用户显示，这似乎也不起作用。我甚至走进了代码，看着它在return RedirectToAction（“Index”，“Home”）上运行 操作，但随后它跳回AdminPortal方法并仅返回AdminPortal视图。所以我的问题是：

1） 如果有人碰巧有ASP中基于角色访问的经验。NET框架，我想知道一些如何设置它的技巧

或

2） 如果其他方法都失败了，我需要使用我的hacky方法，为什么即使用户不是管理员，它仍会继续返回AdminView。

**注意：我知道如果用户是否是管理员，我可以创建一个返回true或false的函数，然后在AdminPortal控制器中有一个if/else语句，该语句在查看时返回true，在查看时返回false，但是我不想在每个ActionMethod上都实现它，最好只保留一行，或者，如果可能，只需在控制器上方的[Authorize Role=“Admin]。

非常感谢你们提供的任何帮助，几天来我一直在努力研究和解决这个问题，并决定联系社区！




Answer 1

至少，您需要对您正在做的事情进行一些调整：

[Authorize]
public class AdminController : Controller
{
    public ActionResult AdminPortal()
    {
        if(IsAdmin())
        {
            return View();
        }

        return RedirectToAction("Index", "Home");
    }

    private bool IsAdmin()
    {
        bool isAdmin = false;

        using(LDSXpressContext db = new LDSXpressContext())
        {
            string name = User.Identity.Name;

            //The User.Identity.Name stores the user email when logged in

            // @see https://docs.microsoft.com/en-us/dotnet/api/system.linq.enumerable.singleordefault
            var currentUser = db.accounts.SingleOrDefault(x => x.clientEmail.Equals(name, StringComparison.OrdinalIgnoreCase));

            // If the email doesn't match a user, currentUser will be null
            if (currentUser != null) 
            {
                //the number 2 indicates admin in my db
                isAdmin = currentUser.role == 2;
            }
        }

        return isAdmin;
    }
}

首先，DbContext实例最多用于HTTP请求的每个生存期。将其从类/控制器级别移动并放置在using块中，可以确保它被正确地处理。

接下来，您的IsAdmin函数实际上只需要根据您的查找返回一个true/false值，然后AdminPortal操作可以决定如何处理该结果。

由于电子邮件似乎是表中唯一的字段，请使用SingleOrDefault或FirstOrDefault LINQ扩展来获取单个匹配记录。使用哪一个取决于您自己，但如果它确实是唯一的值，SingleOrDefault更有意义（如果多行匹配，它将抛出异常）。将StringComparison标志与字符串一起使用。Equals扩展方法使搜索不区分大小写。这里有一些特定于文化的版本，但我通常会使用顺序匹配。

对于这里的答案来说，实现某个版本的身份框架有点太长了，但是可以实现基于声明的身份验证方案，而无需做太多工作。不过，这可能需要一个单独的答案。