ASP.NET MVC 3 Простая авторизация сценария для статических файлов

Question

Предположим, у меня действительно простой сайт, где я разрешаю зарегистрированным пользователям загружать файлы. У меня есть пользователь «andrew» с идентификатором 1 и пользователем «матовый» с и ID 2.

Предположим, я хочу использовать следующую структуру папок для организации загруженных файлов.

/Content/DocRepo/[[ID]]/files_live_here 

Я использую проверку подлинность форм, так что я мог бы использовать элемент веб-конфигурацию расположения, чтобы не допустить несанкционированный доступ, который DocRepo, однако, как только «андрей» вошедший в то, что является самым чистым/простым способом, чтобы предотвратить его от доступа к файлам «мата»?

он не может просто изменить URL, чтобы /Content/DocRepo/2/

Answer 1

Самый простой способ сделать это, чтобы не допустить прямых запросов к файлам на всех. Предотвратите запросы в каталог файлов и вместо этого создайте контроллер файлов, который требует Auth, и гарантирует, что пользователь имеет доступ к файлу, который они запрашивают.

Вы можете использовать подкаталог App_Data, чтобы сохранить файлы, поскольку по умолчанию для любых файлов, содержащихся в нем, не могут быть сделаны прямые запросы.

Answer 2

Это можно сделать в Global.asax под Application_AuthenticateRequest или Application_BeginRequest. Вы также можете зарегистрировать IHTTPHandeler и выполнить ту же логику, что и Global.asax, которая должна была бы прослушивать запросы для папки DocRepo и выполнять аудиты разрешений пользователей.

Если вы используете ASP.NET MVC, вы можете легко создать действие «Загрузить» на своем контроллере, которое принимает какой-либо идентификатор файла и выполняет вашу проверку. Если вы используете классический ASP.NET, вы создадите страницу, download.aspx, которая принимает уникальный идентификатор (как по предложению Эндрю).

В MVC вы можете добавить фильтр авторизации к действию, чтобы разрешить доступ только для аутентифицированных пользователей, и оттуда вы можете выполнить проверку уровня каждого пользователя. В MVC есть результат файла:

return File(...);