基于数据标注的认证与授权：管理员权限访问控制实现问询

嘿，这个需求我之前在项目里也遇到过，给你分享几种实用的实现方式，看哪种更适配你的场景：

如果你的项目里有多个需要管理员权限的Action/View，这种方式最优雅，一次定义就能全局复用。

1. 先创建一个继承自ActionFilterAttribute的权限校验过滤器：

public class AdminOnlyAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        // 先确保用户已登录（如果还没加授权校验，记得先加[Authorize]）
        if (!filterContext.HttpContext.User.Identity.IsAuthenticated)
        {
            filterContext.Result = new RedirectToRouteResult(new RouteValueDictionary
            {
                { "controller", "Account" },
                { "action", "Login" }
            });
            return;
        }

        // 从数据库获取当前用户的管理员状态（这里假设你有封装好的用户查询服务）
        var currentUserName = filterContext.HttpContext.User.Identity.Name;
        var isAdmin = UserManager.GetUserByUserName(currentUserName).IsAdministrator;

        if (!isAdmin)
        {
            // 跳转到自定义的错误页
            filterContext.Result = new RedirectToRouteResult(new RouteValueDictionary
            {
                { "controller", "Error" },
                { "action", "AccessDenied" }
            });
        }
    }
}

2. 然后在需要限制的Action上标记这个特性就行：

[AdminOnly]
public ActionResult Create()
{
    // 创建新用户的业务逻辑
    return View();
}

如果只是少数几个Action需要限制，直接在Action开头加校验逻辑也很直观：

public ActionResult Create()
{
    // 先校验登录状态
    if (!User.Identity.IsAuthenticated)
    {
        return RedirectToAction("Login", "Account");
    }

    // 查询当前用户是否为管理员
    var currentUser = UserManager.GetUserByUserName(User.Identity.Name);
    if (!currentUser.IsAdministrator)
    {
        return RedirectToAction("AccessDenied", "Error");
    }

    // 正常的创建用户逻辑
    return View();
}

为了减少数据库查询次数，提升性能，可以在用户登录时把IsAdministrator的状态存入用户的Claim中：

// 登录逻辑里添加Claim
var claims = new List<Claim>
{
    new Claim(ClaimTypes.Name, user.UserName),
    new Claim("IsAdministrator", user.IsAdministrator.ToString())
};
var identity = new ClaimsIdentity(claims, DefaultAuthenticationTypes.ApplicationCookie);
AuthenticationManager.SignIn(new AuthenticationProperties { IsPersistent = rememberMe }, identity);

之后在校验时就可以直接从Claim读取，不用每次查数据库：

var isAdminClaim = User.Claims.FirstOrDefault(c => c.Type == "IsAdministrator");
var isAdmin = isAdminClaim != null && bool.Parse(isAdminClaim.Value);

内容的提问来源于stack exchange，提问作者Grizzly