我正在使用新出版的书ASP.NET Web Api 2 Recipes中的配方 10-3来支持我的 Web API 中的基本身份验证。此配方使用 Thinktecture 的 3rd 方库。从下面的代码中可以看出,我正在根据我自己的帐户服务对用户进行身份验证。
using Thinktecture.IdentityModel.WebApi.Authentication.Handler;
public static class WebApiConfig
{
public static void Register(HttpConfiguration config)
{
...
var authenticationConfiguration = new AuthenticationConfiguration();
var accountService = ServiceLocator.Get<AccountService>();
authenticationConfiguration.AddBasicAuthentication((userName, password) => accountService.Authenticate(userName, password));
config.MessageHandlers.Add(new AuthenticationHandler(authenticationConfiguration));
...
}
}
现在我想使用 Authorize 属性在我的控制器中进行基于角色的授权:
[Authorize(Roles="administrator")]
public IHttpActionResult Get()
{
...
}
我的帐户服务显然知道用户及其分配的角色,但 Authorize 属性无法使用此信息(角色未在主体上设置)。
我该如何做到这一点?可以将 Thinktecture 身份验证处理程序配置为在主体上设置角色吗?或者我应该制作自己的自定义 Authorize 属性(从 Authorize 属性派生)?如果是这样,我是否应该覆盖 OnAuthorization 方法以使用我的帐户服务创建和设置主体?或者可能直接覆盖 IsAuthorized 方法?或者可能是别的什么...