Найти метод, который будет выполняться в контроллере с использованием отражения

Question

Я поддерживаю сайт ASP.NET MVC, где они делают свою собственную безопасность. Таким образом, они создали класс, полученный от AuthorizeAttribute. В OnAuthorization у них есть код отражения, который находит метод на основе имени action в RouteData.

Проблема, которую я вижу, что если у вас есть несколько функций в контроллере, которые отличаются только AcceptVerb или параметров, это можно не авторизовать пользователя:

IList<MethodInfo> methods = filterContext.Controller.GetType().GetMethods().Where(i=>i.Name == action).ToList(); 

foreach (MethodInfo method in methods) 
{ 
    //get all of the controller security properties, and check for access: 
    object[] props = method.GetCustomAttributes(typeof(ControllerSecurity), false); 
    foreach (ControllerSecurity prop in props) 
    { 
     //does the user have access to this area/action? 
     authorized = security.ValidateUserForAction(prop.SecurityArea, prop.SecurityAction); 

     //if we are authorized by one ControllerSecurity, then we are good. 
     if (authorized) 
     { 
      break; 
     } 
    } 
} 

ControllerSecurity класс класс Атрибут используется для украшения наших действий контроллера и описания доступа к безопасности, необходимые для этой функции:

//User needs to have VIEW privileges to REPORTS area: 
[ControllerSecurity("REPORTS", "VIEW")] 
public ActionResult Index(){...} 

Там должен быть лучший способ сделать это, не переписывая безопасности. Я хотел бы знать с некоторой определенностью, что мы проверяем только метод, который в конечном итоге будет запущен.

Я просмотрел объект AuthorizationContext и не могу найти все равно, чтобы надежно найти метод действия, который в конечном итоге будет вызван.

У кого-нибудь есть идеи?

Answer 1

Я думаю, что Mvc дает вам возможность получить доступ к определенному действию. Я не пробовал, но попробовать это ..

object[] props = filterContext.ActionDescriptor.GetCustomAttributes(typeof(ActionMethodSelectorAttribute), false); 
foreach (ActionMethodSelectorAttribute prop in props) 
{ 
     //does the user have access to this area/action? 
     authorized = security.ValidateUserForAction(prop.SecurityArea, prop.SecurityAction); 

     //if we are authorized by one ControllerSecurity, then we are good. 
     if (authorized) 
     { 
       break; 
     } 
} 

вещь, чтобы отметить это filterContext.ActionDescriptor, она существует в AuthorizationContext, который передается в в методе OnAuthorization.

Если это не поможет, вы можете использовать ActionNameSelectorAttribute в своем коде поиска действий. Код, который вы указали, не всегда будет работать. Возьмите случай, когда кто-то явно использует ActionName["MyAction"], чтобы определить действие вместо имени подразумеваемого метода.