EPiServer中自定义RystadAuthorize授权属性与ReturnUrl处理咨询

我来帮你把这个自定义授权属性补全，同时搞定ReturnUrl的处理——毕竟在EPiServer项目里，页面的URL处理还有点特殊，得贴合CMS的逻辑来。

完整的RystadAuthorize属性实现 #

先上完整代码，每部分我都会给你解释清楚：

using System;
using System.Web;
using System.Web.Mvc;
using EPiServer;
using EPiServer.Core;
using EPiServer.Web;

public class RystadAuthorize : AuthorizeAttribute
{
    // 核心授权逻辑：校验登录状态+角色权限
    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        // 先执行基础校验：判断用户是否已登录
        var isAuthenticated = base.AuthorizeCore(httpContext);
        if (!isAuthenticated)
            return false;

        // 处理多角色逗号分隔的情况，先拆分并移除空项
        var requiredRoles = Roles.Split(new[] { ',' }, StringSplitOptions.RemoveEmptyEntries);
        // 如果没有指定角色，默认通过；否则校验用户是否拥有任一所需角色
        return requiredRoles.Length == 0 || requiredRoles.Any(httpContext.User.IsInRole);
    }

    // 关键：处理未授权请求，这里搞定ReturnUrl跳转
    protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
    {
        var httpContext = filterContext.HttpContext;
        var request = httpContext.Request;
        var response = httpContext.Response;

        // 情况1：用户未登录，跳转登录页并携带ReturnUrl
        if (!httpContext.User.Identity.IsAuthenticated)
        {
            // 用EPiServer的站点配置获取登录页，避免硬编码，适配多站点场景
            var siteDefinition = ServiceLocator.Current.GetInstance<ISiteDefinitionResolver>().GetDefaultSite();
            var loginUrl = siteDefinition.SiteSettings.LoginUrl;

            // 对ReturnUrl进行URL编码，防止特殊字符破坏跳转地址
            var encodedReturnUrl = HttpUtility.UrlEncode(request.Url.PathAndQuery);
            var redirectUrl = $"{loginUrl}?ReturnUrl={encodedReturnUrl}";

            response.Redirect(redirectUrl, endResponse: false);
        }
        // 情况2：用户已登录但无对应角色，跳转到无权限提示页
        else
        {
            // 你可以自定义这个地址，也可以配置到EPiServer的站点错误页里
            var accessDeniedUrl = "/access-denied";
            response.Redirect(accessDeniedUrl, endResponse: false);
        }
    }

    // 可选：EPiServer专属校验，确保请求的页面是有效存在的
    public override void OnAuthorization(AuthorizationContext filterContext)
    {
        var contentLoader = ServiceLocator.Current.GetInstance<IContentLoader>();
        var currentPage = filterContext.RequestContext.GetCurrentPage();

        // 如果请求的页面不存在，直接返回404，不用走授权逻辑
        if (currentPage == null || !contentLoader.TryGet(currentPage.ContentLink, out PageData _))
        {
            filterContext.Result = new HttpNotFoundResult();
            return;
        }

        // 执行基础授权流程
        base.OnAuthorization(filterContext);
    }
}

核心逻辑说明 #

1. 授权校验部分 #

• 先通过base.AuthorizeCore校验用户是否登录，这一步会自动处理Forms Auth的登录状态判断。
• 拆分角色时用StringSplitOptions.RemoveEmptyEntries，避免不小心输入的空角色导致校验异常。
• 如果没有指定Roles属性，默认授权通过（你可以根据需求改成默认拒绝，只要调整return逻辑就行）。

2. ReturnUrl处理细节 #

• 避免硬编码登录页：用EPiServer的ISiteDefinitionResolver获取站点配置的登录地址，这样多站点部署时不用修改代码。
• URL编码：必须对ReturnUrl做HttpUtility.UrlEncode，否则如果原URL包含特殊字符（比如?、&），会导致跳转参数失效。
• 两种未授权场景区分：把“未登录”和“已登录但无权限”分开处理，提升用户体验——未登录的去登录，已登录的直接提示无权访问。

使用方式 #

你可以把这个属性用在Controller Action上，也可以直接标记在EPiServer的PageType类上：

标记在Action上 #

[RystadAuthorize(Roles = "ContentEditor,Admin")]
public ActionResult RestrictedDashboard()
{
    return View();
}

标记在PageType上（整个页面类型都受保护） #

[RystadAuthorize(Roles = "PremiumSubscriber")]
[ContentType(DisplayName = "Premium Content Page")]
public class PremiumContentPage : PageData
{
    // 页面属性定义
    [Display(Name = "Premium Content")]
    public virtual XhtmlString PremiumBody { get; set; }
}

额外注意事项 #

• 确保web.config里的authentication节点的loginUrl和EPiServer站点配置的登录地址一致，避免冲突。
• 如果你的项目用了EPiServer的权限系统，也可以结合IContentSecurityRepository做更细粒度的页面权限校验，但这个自定义属性已经能满足大部分角色授权场景。

内容的提问来源于stack exchange，提问作者mohsinali1317