Autorizza attributo con più ruoli

Vorrei aggiungere l'autorizzazione a un controller, per più ruoli contemporaneamente.

Normalmente sarebbe simile a questo:

[Authorize(Roles = "RoleA,RoleB,RoleC")]
public async Task<ActionResult> Index()
{
}

Ma ho memorizzato i miei ruoli in consts, poiché potrebbero cambiare o essere estesi a un certo punto.

public const RoleA = "RoleA";
public const RoleB = "RoleB";
public const RoleC = "RoleC";

Non posso farlo, poiché la stringa deve essere nota in fase di compilazione:

[Authorize(Roles = string.join(",",RoleA,RoleB,RoleC)]
public async Task<ActionResult> Index()
{
}

C'è un modo per aggirare il problema?

Potrei scrivere una const che contiene semplicemente "RoleA, RoleB, RoleC" - ma non mi piacciono le stringhe magiche e questa è una stringa magica. Cambiare il nome di un ruolo e dimenticare di cambiare la stringa combinata sarebbe un disastro.

Sto usando MVC5. L'identità e il ruolo di ASP.NET sono noti in fase di compilazione.

Prova a creare un attributo di autorizzazione personalizzato come questo .

public class AuthorizeRolesAttribute : AuthorizeAttribute
{
    public AuthorizeRolesAttribute(params string[] roles) : base()
    {
        Roles = string.Join(",", roles);
    }
}

Supponendo che i tuoi ruoli saranno gli stessi per più controller, crea una classe helper:

public static class Role
{
    public const string Administrator = "Administrator";
    public const string Assistant = "Assistant";
}

Quindi usalo in questo modo:

public class MyController : Controller
{
    [AuthorizeRoles(Role.Administrator, Role.Assistant)]
    public ActionResult AdminOrAssistant()
    {                       
        return View();
    }
}

Assicurati di derivare la tua classe di attributi personalizzati off System.Web.Mvc.AuthorizeAttributee NOT System.Web.Http.AuthorizeAttribute.

Mi sono imbattuto nello stesso problema. Una volta cambiato, tutto ha funzionato.

Puoi anche aggiungere quanto segue alla tua classe di attributi personalizzati:

[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, Inherited = true, AllowMultiple = true)] 

Il modo migliore e più semplice che ho trovato per risolvere questo problema è semplicemente concatenare i ruoli nell'attributo Autorizza.

[Authorize(Roles = CustomRoles.Admin + "," + CustomRoles.OtherRole)]

con CustomRole una classe con stringhe costanti come questa:

public static class CustomRoles
{
    public const string Admin = "Admin";
    // and so on..
}

Quello che ho fatto è la risposta in @Tieson

Modifico un po 'la sua risposta. Invece di string.Join perché non convertirlo in elenco?

Ecco la mia risposta:

public class AuthorizeRolesAttribute : AuthorizeAttribute
{
    private new List<string> Roles;
    public AuthorizeRolesAttribute(params string[] roles) : base()
    {
        Roles = roles.toList()
    }
}

Quindi controlla se il ruolo è valido sovrascrivendo OnAuthorization

public override void OnAuthorization(HttpActionContext actionContext)
{
            if (Roles == null)
                HandleUnauthorizedRequest(actionContext);
            else
            {
                ClaimsIdentity claimsIdentity = HttpContext.Current.User.Identity as ClaimsIdentity;
                string _role = claimsIdentity.FindFirst(ClaimTypes.Role).Value;
                bool isAuthorize = Roles.Any(role => role == _role);

                if(!isAuthorize)
                    HandleUnauthorizedRequest(actionContext);
            }
        }

Ed ecco fatto, ora sta convalidando se il ruolo è autorizzato ad accedere alla risorsa

Mi sembra che un attributo di autorizzazione personalizzato sia eccessivo per questo problema a meno che tu non abbia una grande quantità di ruoli.

Poiché la stringa deve essere nota in fase di compilazione, perché non creare una classe Role statica che contenga stringhe pubbliche dei ruoli definiti e quindi aggiungere stringhe separate da virgole con determinati ruoli che si desidera autorizzare:

public static class Roles
{
    public const string ADMIN = "Admin";
    public const string VIEWER = "Viewer";

    public const string ADMIN_OR_VIEWER = ADMIN + "," + VIEWER;
}

E poi puoi usare l'attributo di autorizzazione in questo modo sulla classe controller o sul metodo controller (o entrambi):

[Authorize(Roles = Roles.ADMIN]
public class ExampleController : Controller
{
    [Authorize(Roles = Roles.ADMIN_OR_VIEWER)
    public ActionResult Create()
    {
        ..code here...
    }
}