7

我对 MVC 5 中的声明有疑问。

所以基本上想象我在数据库中有一个注册用户，现在用户要登录，就像这样：

private async Task SignInAsync(ApplicationUser user, bool isPersistent)
{
    AuthenticationManager.SignOut(DefaultAuthenticationTypes.ExternalCookie);
    var identity = await UserManager.CreateIdentityAsync(user, DefaultAuthenticationTypes.ApplicationCookie);
    // Add more custom claims here if you want. Eg HomeTown can be a claim for the User
    var homeclaim = new Claim(ClaimTypes.Country, user.HomeTown);
    identity.AddClaim(homeclaim);
    AuthenticationManager.SignIn(new AuthenticationProperties() { IsPersistent = isPersistent }, identity);
}

因此，在这种情况下，我向身份添加新声明，然后登录此身份。

现在我的问题是：

  • 设置此声明有什么用？（因为如果我需要它，我也可以从数据库中获取它，所以在这种索赔情况下有什么意义）

  • 我以后如何在代码中使用它？

4

1 回答 1

9

针对身份设置声明可以使您的应用程序安全性更加高效，并节省每次访问数据库的时间。

上述方法可以称为声明转换，它通常涉及读取在身份验证成功后转换为声明的数据。

为了以后阅读它，您可以这样做：

//Get the current claims principal
var identity = (ClaimsPrincipal)Thread.CurrentPrincipal;

//Get the country from the claims
var country = identity.Claims.Where(c => c.Type == ClaimTypes.Country).Select(c => c.Value);

更新

只是为了提供一些进一步的信息来回答下面的评论中讨论的问题。

使用基于声明的方法，您还可以使用声明授权管理器，该管理器可以提供对资源和操作的集中/细粒度访问控制。 

如果您之前没有使用过声明，最好考虑针对资源而不是基于角色的权限的操作。这样一来，您就可以直接向下钻取并单独控制对每个资源/操作的访问，而不是为每个资源/操作设置多个角色。 

我个人喜欢使用混合，但也将角色存储为声明。这样我就可以在 mvc 中使用带有角色的标准授权标签，它读取声明并使用 thinktecture 的属性/ClaimsAuthorization 使声明授权管理器拾取更复杂的规则。

此处提供了有关在 MVC 4 中实现基于声明的身份验证的良好链接：

http://dotnetcodr.com/2013/02/25/claims-based-authentication-in-mvc4-with-net4-5-c-part-1-claims-transformation/

于 2014-01-25T20:25:57.717 回答