ASP.NET MVC中如何从自定义数据注解访问Session？

嘿，我明白你想通过自定义注解模拟Identity的[Authorize]、避免重复代码的需求，也理解你想先搞懂登录原理再用Identity的想法。咱们先看看你遇到的问题根源，再给你合适的解决方案。

问题根源 #

你现在用ValidationAttribute来做授权，还尝试在注解的参数里直接用Session["UserId"]，这两个点其实都有问题：

1. ValidationAttribute的定位不对：它的设计初衷是验证模型属性的合法性（比如检查输入的邮箱格式、密码长度），不是用来做请求级别的授权验证。
2. 注解参数的初始化时机问题：注解是在编译阶段就被初始化的，而Session是ASP.NET运行时、控制器实例化之后才存在的实例成员——在编译时根本没有控制器实例，自然就会报错“需要对象引用”。

正确的解决方案：自定义授权过滤器/注解 #

ASP.NET本身提供了专门用来做请求拦截、授权验证的扩展点，完全能满足你的需求，而且不需要在每个方法里写重复判断。这里给你两种常用的实现方式：

方式1：自定义ActionFilterAttribute（通用请求拦截） #

这个方式适合做各种请求前后的处理，包括授权检查：

public class IdCheckFilter : ActionFilterAttribute
{
    // 在Action方法执行前触发
    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        // 从上下文获取Session
        var session = filterContext.HttpContext.Session;
        var userId = session["UserId"] as string;

        // 如果Session里没有UserId，说明未登录
        if (userId == null)
        {
            // 处理未授权请求：比如跳转到登录页
            filterContext.Result = new RedirectResult("/Account/Login");
            // 如果是API接口，也可以返回401未授权：
            // filterContext.Result = new UnauthorizedResult();
        }

        base.OnActionExecuting(filterContext);
    }
}

然后直接在控制器或Action上使用：

// 作用于整个控制器
[IdCheckFilter]
public class SomeController : Controller
{
    // 控制器方法
    public ActionResult Index()
    {
        return View();
    }

    // 如果只想作用于单个方法，也可以把注解加在这里
    // [IdCheckFilter]
    // public ActionResult PrivatePage()
    // {
    //     return View();
    // }
}

方式2：自定义AuthorizeAttribute（专门的授权注解） #

如果你想更贴近Identity中[Authorize]的用法，直接继承ASP.NET自带的AuthorizeAttribute会更合适，它是专门为授权场景设计的：

public class IdCheckAuthorizeAttribute : AuthorizeAttribute
{
    // 核心授权逻辑
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        // 直接从上下文获取Session并验证
        var userId = httpContext.Session["UserId"] as string;
        return userId != null;
    }

    // 未授权时的处理逻辑
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        // 跳转到登录页，或者返回错误
        filterContext.Result = new RedirectResult("/Account/Login");
    }
}

使用方式和你原本想的一样：

[IdCheckAuthorize]
public class SomeController : Controller
{
    // 控制器方法
}

为什么这两种方案可行？ #

这两种方式都是在请求运行时触发的，此时HttpContext已经完全初始化，Session也可以正常访问，完美避开了注解编译时初始化的限制，同时也符合ASP.NET的设计规范。

而且完全满足你的需求：只需要在控制器/方法上加一个注解，就能自动验证Session，不用在每个方法里写重复的判断逻辑。

内容的提问来源于stack exchange，提问作者EmreYZ