從零開始搭建前後端分離的NetCore2.2(EF Core CodeFirst+Autofac)+Vue的項目框架之九如何進行用戶許可權控制

来源:https://www.cnblogs.com/levywang/archive/2019/11/10/coreframe_9.html

在一般的前後端分離的web系統開發中,在服務端除了對用戶數據的緩存之外,往往在某些介面上,還涉及到對用戶許可權的限制,有的介面只能讓具有特定許可權的人員才可以訪問。 這樣以來就可以加強系統的安全性,在前面章節中簡單講了 MemoryCache與redis緩存的使用 ,方便將用戶數據緩存到伺服器上在需要的 ...


  在一般的前後端分離的web系統開發中,在服務端除了對用戶數據的緩存之外,往往在某些介面上,還涉及到對用戶許可權的限制,有的介面只能讓具有特定許可權的人員才可以訪問

  這樣以來就可以加強系統的安全性,在前面章節中簡單講了 MemoryCache與redis緩存的使用 ,方便將用戶數據緩存到伺服器上在需要的時候快速取出使用與驗證,

  下麵我們就講講如何進行用戶許可權的驗證,以下將是一個簡單的示例,可以根據需求自行調節,許可權組也可以根據資料庫配置實現等等

  在前面已經有 Token 驗證 以及 用戶數據 緩存的情況下,新建 用戶驗證 的 過濾器 類  UserAuthorize  繼承  ActionFilterAttribute 屬性  

    /// <summary>
    /// 用戶許可權驗證
    /// </summary>
    public class UserAuthorize : ActionFilterAttribute
    {
        public UserAuthorize()
        {
        }
        public List<long> Popedoms { get; set; }//駝峰命名   首字母大寫


        /// <summary>
        /// 構造函數
        /// </summary>
        /// <param name="popedom">許可權組</param>
        public UserAuthorize(params long[] popedom)
        {
            Popedoms = popedom.ToList();
        }

        public override void OnActionExecuting(ActionExecutingContext filterContext)
        {
            //整個類是否設置了都可以訪問
            if (filterContext.ActionDescriptor is ControllerActionDescriptor controllerActionDescriptor)
            {
                var isDefined = controllerActionDescriptor.MethodInfo.GetCustomAttributes(true)
                    .Any(a => a.GetType() == typeof(AllowAnonymousAttribute));
                if (isDefined)
                {
                    return;
                }
            }

            var user = UserCache.GetCurrentUser();//獲取當前用戶
            if (user != null && Popedoms?.Contains(user.PopedomId) == true)
            {
                return;
            }

            if (user == null)
            {
                filterContext.Result = new CustomHttpStatusCodeResult(200, 401, "授權已失效請重新登錄");
            }
            else
            {
                filterContext.Result = new CustomHttpStatusCodeResult(200, 402, "您無權進行該操作,請聯繫管理員!");
            }

        }
    }

  涉及到的相關代碼  在之前添加的  UserCache  類中添加代碼如下:  完整代碼,文章最下麵有GitHub 地址

        /// <summary>
        /// 獲取當前用戶
        /// </summary>
        /// <returns></returns>
        internal static UserDto GetCurrentUser()
        {
            var key = DemoWeb.HttpContext.Request.Headers["sid"];
            if (string.IsNullOrEmpty(key))
            {
                return null;
            }
            var user = Get(key);
            if (string.IsNullOrEmpty(user))
            {
                return null;
            }
            return user.ToNetType<UserDto>();
        }

  接下來 我們添加登錄測試偽代碼 然後將用戶數據存進緩存 再調用添加了許可權驗證的介面,來驗證許可權驗證是否可用,

  新建用戶相關控制器  UserController ,繼承之前的用戶基礎控制器 BaseUserController ,要有許可權驗證,肯定得先登錄,示例代碼如下:

    [Route("api/[controller]")]
    public class UserController : BaseUserController
    {
        [HttpPost, Route("login"),AllowAnonymous]//AllowAnonymous加上這一句 為任何用戶可訪問,在基礎控制器中有設置
        public ActionResult Login()
        {
            //調用登錄方法進行登錄 在業務層處理  將登錄成功的用戶信息緩存 以及生成token
            //此處示例 為了方便就直接在控制器中編寫
            var token = TokenManager.GenerateToken("測試token的生成");
            Response.Headers["token"] = token;
            //Response.Headers["Access-Control-Expose-Headers"] = "token"; //需要同時設置 不然後者會衝突掉前者
            var user = new UserDto()
            {
                UserName = "Levy",
                Email = "[email protected]",
                Age = 23,
                PopedomId = 999
            };
            var sessionId = Guid.NewGuid().ToString("N");
            DemoWeb.HttpContext.Response.Headers["sid"] = sessionId;
            UserCache.Set(sessionId,user.ToJson());
            DemoWeb.HttpContext.Response.Headers["Access-Control-Expose-Headers"] = "token,sid";//前後端分離 跨域的情況下  加上這句 前端才能拿到 sid 欄位對應值 多個用英文逗號分隔
            return Succeed(user);
        }

        /// <summary>
        /// 用戶許可權為888 或者為 999 的才能訪問
        /// </summary>
        /// <returns></returns>
        [HttpPost,Route("popedom"),UserAuthorize(888,999)]
        public ActionResult PopedomTest()
        {
            return Succeed("成功訪問");
        }
    }

  運行程式,打開介面測試工具,先訪問登錄介面,然後將得到的 Token 和 sid 拿來 調用 許可權測試介面 我們就可以得到如下結果:截圖如下:

再然後調試登錄,把登錄的許可權改為不在許可權控制的值之類,再次拿著返回的sid 及 Token 來訪問許可權測試介面,就會得到如下結果:

這裡只是做了一個簡單許可權驗證測試,靈活運用需結合資料庫及緩存,也可以根據許可權設置好響應的過濾器等等方式。

 

有需要源碼的可通過此 GitHub 鏈接拉取 覺得還可以的給個 start 和點個 下方的推薦哦~~謝謝!

下一篇可能會講到如何將資料庫訪問封裝基礎方法來方便使用或者常用加密等~


您的分享是我們最大的動力!

更多相關文章
  • 概述首先同步下項目概況:上篇文章分享了,路由中間件 - 日誌記錄,這篇文章咱們分享:路由中間件 - 捕獲異常。當系統發生異常時,提示 “系統異常,請聯繫管理員!”,併發送 panic 告警郵件。什麼是異常?在 Go 中異常就是 panic,它是在程式運行的時候拋出的,當 panic 拋出之後,如果在 ...
  • [TOC] 這篇博客及之後的系列,我會向大家介紹各種驗證碼的識別。包括普通圖形驗證碼,極驗滑動驗證碼,點觸驗證碼,微博宮格驗證碼。 一.普通圖形驗證碼 之前的博客已向大家介紹了簡單的圖形驗證碼的處理過程,但是會和實際的有所差別,這是因為驗證碼內的多餘線條與圖案干擾了圖片的識別。因此,對於這種情況,需 ...
  • 前言 Java文件的運行過程: 1,javac.exe:編譯器 2,java.exe:解釋器 微軟shell下運行實例: C:\Users\Administrator>cd D:\文檔\JAVALIAnxi\ C:\Users\Administrator>d: D:\文檔\JAVALIAnxi>ja ...
  • 把所有的節點用一根直線串起來 連續存儲[數組] 什麼叫做數組:元素類型相同,大小相等 重點看代碼吧,需要註意的都在註釋里,多敲幾遍,當然了,有些功能還沒有實現,以後再實現 ...
  • 概述首先同步下項目概況:上篇文章分享了,路由中間件 - Jaeger 鏈路追蹤(理論篇)。這篇文章咱們分享:路由中間件 - Jaeger 鏈路追蹤(實戰篇)。說實話,這篇文章確實讓大家久等了,主要是裡面有一些技術點都是剛剛研究的,沒有存貨。先看下咱們要實現的東西:API 調用了 5 個服務,其中 4 ...
  • 一、Dubbo誕生背景(摘自Dubbo官網-入門-背景) 二、Dubbo架構圖(摘自Dubbo官網-入門-架構) 三、Dubbo核心依賴(jar包):dubbo、zkclient 四、Dubbo項目搭建的方式:配置文件式、註解式 五、Dubbo項目配置文件的核心配置: (一)配置文件式 1. 服務提 ...
  • 1. 模塊 1.1 什麼是模塊 別人寫好的函數、變數、方法放在一個文件里 (這個文件可以被我們直接使用)這個文件就是個模塊 常見的場景:一個模塊就是一個包含了python定義和聲明的文件,文件名就是模塊名字加上.py的尾碼。 但其實import載入的模塊分為四個通用類別: 1.使用python編寫的 ...
  • 一.前言 從這個簡單程式的輸出結果,你想到了什麼?是不是與你心中想的結果不一致?是不是覺得輸出的結果應該為:i is 1,o is 8,o2 is 8 二.程式執行前 圖 2 我們都知道,每一個方法在執行前,操作系統會給方法內每個變數分配記憶體空間。從圖2中就可以看出,在執行前各變數(i,o,o2)已 ...
一周排行
  • 在園子裡面有很多關於各種技術細節的研究文章,都是比較牛逼的框架研究;但是一直沒有看到關於怎麼樣提高開發效率的文章,大多提高開發效率的文章都是關於自動化等方面的輔助工具類型的,而不是開發中的一些小技巧;今天從編碼規範、編碼技巧、開發思想、設計模式等各方面的經驗來分享如何提高開發效率。 ...
  • 前言 隨著近些年微服務的流行,有越來越多的開發者和團隊所採納和使用,它的確提供了很多的優勢也解決了很多的問題,但是我們也知道也並不是銀彈,提供優勢的同時它也給我們的開發人員和團隊也帶來了很多的挑戰。 為了迎接或者採用這些新技術,開發團隊需要更加註重一些流程或工具的使用,這樣才能更好的適應這些新技術所 ...
  • 本文是本系列的完結篇。本系列前面的文章: 邏輯式編程語言極簡實現(使用C#) - 1. 邏輯式編程語言介紹 邏輯式編程語言極簡實現(使用C#) - 2. 一道邏輯題:誰是凶手 邏輯式編程語言極簡實現(使用C#) - 3. 運行原理 下午,吃飽飯的老明和小皮,各拿著一杯剛買的咖啡回到會議室,開始了邏輯 ...
  • 微服務之間的通信之gRPC 介紹 gRPC是一種與語言無關的高性能遠程過程調用 (RPC) 框架,gRPC是Google發佈的基於HTTP 2.0傳輸層協議承載的高性能開源軟體框架,提供了支持多種編程語言的、對網路設備進行配置和納管的方法。由於是開源框架,通信的雙方可以進行二次開發,所以客戶端和服務 ...
  • 一、TLS 線程本地存儲(Thread Local Storage),字面意思就是專屬某個線程的存儲空間。變數大體上分為全局變數和局部變數,一個進程中的所有線程共用地址空間,這個地址空間被劃分為幾個固有的區域,比如堆棧區,全局變數區等,全局變數存儲在全局變數區,虛擬地址固定;局部變數存儲在堆棧區,虛... ...
  • private:私有成員,在類的內部才可以訪問。 protected:保護成員,該類內部和繼承類中可以訪問。 public:公共成員,完全公開,沒有訪問限制。 internal:當前程式集內可以訪問。 ...
  • 前言 上一篇【.Net Core微服務入門全紀錄(六)——EventBus-事件匯流排】中使用CAP完成了一個簡單的Eventbus,實現了服務之間的解耦和非同步調用,並且做到數據的最終一致性。這一篇將使用IdentityServer4來搭建一個鑒權中心,來完成授權認證相關的功能。 IdentitySe ...
  • using System; using System.Collections.Generic; using System.ComponentModel; using System.Data; using System.Drawing; using System.Linq; using System. ...
  • 從今天起,我將製作一個電影推薦項目,在此寫下博客,記錄每天的成果。 其實,從我發佈 C# 爬取貓眼電影數據 這篇博客後, 我就已經開始製作電影推薦項目了,今天寫下這篇博客,也是因為項目進度已經完成50%了,我就想在這一階段停一下,回顧之前學到的知識。 一、主要為手機端 考慮到項目要有實用性,我選擇了 ...
  • 一、實現Runnable介面 public class RunnableDemo implements Runnable { public void run() { try { Thread.sleep(100); } catch (InterruptedException e) { e.print ...