Смешивание ASP.NET WebForms и авторизация MVC

Question

Я пытаюсь смешать некоторые функции MVC3 в существующем приложении WebForms. Я следил за несколькими гидами, и все было создано и работало, за исключением части авторизации. В существующем приложении есть <deny users="*" />, который находится у корневого web.config, и каждая подпапка имеет свой собственный web.config, который позволяет доступ к страницам внутри определенных ролей.

Мое новое понимание заключается в том, что этот стиль не может/не должен использоваться на контроллерах, и вместо этого я должен использовать атрибуты Authorize. Я украсил мой тест «HomeController» с [Authorize(Roles="AdminRole")], но при попытке просмотра страницы я получаю страницу «Отказано в доступе».

Если я изменил корневой web.config, скажу <allow users="*" />, страница работает. Означает ли это, что атрибут, который я добавил в контроллер, работает, но параметр root web.config имеет приоритет над ним? Я не хочу связываться с существующим материалом авторизации, так как сайт хорошо установлен, и я просто пытаюсь добавить MVC для игры. Я что-то упускаю? Спасибо за любую информацию, которую вы можете предоставить.

Answer 1

А это немного сложно, поскольку вы пытаетесь использовать защиту MVC в приложении, уже использующем веб-формы. Если это было чисто mvc, выбор прост. Если вы не можете вытащить функции mvc в отдельное приложение, это оставляет вам немного рассола.

Моей первой рекомендацией было бы попытаться извлечь код. Если вы используете MVC только для обеспечения спокойных функций, можете также проверить MVC4 web api, чтобы предоставить api для вашего приложения и поделиться компонентами, которые используются между ними, что потребовало бы вытащить их из вашего веб-приложения в библиотеку домена или другое подходящее имя библиотека.

С учетом этого не на 100% уверены, что разрешить пользователям = "*" работать должным образом, но я считаю, что это так. Его достаточно легко проверить, просто измените Roles = "AdminRole" на Roles = "placeholder" и повторите попытку.

Установка этого, хотя и убивает остальную часть вашего auth, поэтому одной идеей может быть размещение всех маршрутов mvc под определенным URL-адресом, например «/ api /», и разрешить * в файле web.config на этот путь, а затем использовать mvc безопасность всех ваших методов управления. Это повлияет на ваше основное веб-приложение.