ASP.NET MVC如何仅允许指定用户进行产品增删改查操作？

1. 修复编译错误 #

你遇到的“未找到类型或命名空间‘Users’”错误，是因为缺少System.Web.Mvc命名空间引用。AuthorizeAttribute及其Users属性都在这个命名空间下，只需在控制器文件顶部添加：

using System.Web.Mvc;

2. 正确的权限限制用法 #

[Authorize(Users = "特定用户名")]是ASP.NET MVC限制特定用户访问的标准方式，注意这里的Users值是系统用户名（若你的用户系统把邮箱设为用户名则可直接用邮箱）。

应用位置选择 #

• 控制器类级别：如果要限制ProductsController的所有操作（Create/Read/Edit/Delete），直接把特性加在控制器类上：

  using System.Web.Mvc;
  
  [Authorize(Users = "JohnDoe")] // 替换为允许的用户名
  public class ProductsController : Controller
  {
      public ActionResult Create() => View();
      public ActionResult Edit(int id) => View();
      public ActionResult Delete(int id) => View();
      public ActionResult Details(int id) => View();
  }
  

• Action方法级别：如果仅需限制部分操作（比如只锁Create/Edit/Delete，允许所有人访问Details），就把特性单独加在对应方法上：

  using System.Web.Mvc;
  
  public class ProductsController : Controller
  {
      [Authorize(Users = "JohnDoe")]
      public ActionResult Create() => View();
  
      [Authorize(Users = "JohnDoe")]
      public ActionResult Edit(int id) => View();
  
      [Authorize(Users = "JohnDoe")]
      public ActionResult Delete(int id) => View();
  
      // 无特性，所有人可访问
      public ActionResult Details(int id) => View();
  }
  

3. 按邮箱限制访问的自定义实现 #

默认AuthorizeAttribute不支持直接通过邮箱过滤，可自定义特性实现：

using System.Web.Mvc;
using System.Security.Principal;
using System;

public class AuthorizeByEmailAttribute : AuthorizeAttribute
{
    public string Email { get; set; }

    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        // 先验证用户是否已登录
        if (!base.AuthorizeCore(httpContext))
            return false;

        var username = httpContext.User.Identity.Name;
        // 从你的用户系统中根据用户名获取邮箱（比如数据库查询）
        var userEmail = GetUserEmailFromDatabase(username);

        return string.Equals(userEmail, Email, StringComparison.OrdinalIgnoreCase);
    }

    // 实现从用户名获取邮箱的业务逻辑
    private string GetUserEmailFromDatabase(string username)
    {
        // 示例：替换为你的实际查询代码
        // using (var db = new YourDbContext())
        // {
        //     var user = db.Users.FirstOrDefault(u => u.UserName == username);
        //     return user?.Email;
        // }
        return "";
    }
}

使用时直接指定邮箱：

[AuthorizeByEmail(Email = "john@example.com")]
public ActionResult Create() => View();

内容的提问来源于stack exchange，提问作者Mrace 1205