MVC自帶的ActionFilter

在Asp.Net WebForm的中要做到身份認證微軟為我們提供了三種方式，其中最常用的就是我們的Form認證，需要配置相應的資訊。例如下面的配置資訊：

1. <authenticationmode="Forms">
2.     <formsloginUrl="Login.aspx"defaultUrl="Default.aspx"protection="All"/>
3. </authentication>
4. <authorization>
5.     <denyusers
   ="?"/>
6.     <allowusers="*"/>
7. </authorization>

說明我們登入頁面是Login.aspx，登入成功後的預設頁面是Default.aspx，而我們使用者資訊採用驗證和加密兩種方式。而且最重要的是我們要寫好授權方式（下面的授權一定要寫否則只說明使用Forms認證然後設定相關屬性是沒有用的），拒絕所有匿名使用者，只有登入使用者可以正常訪問。這樣之後我們設定點選登入按鈕將使用者名稱寫進cookie（也就是執行FormsAuthentication.SetAuthCookie(name, false);）就可以了。

0在Asp.Net MVC中我們同樣可以使用Forms認證，但是如果你按照WebForm中的做法去做就不行了。例如你這樣配置資訊：

1. <authenticationmode="Forms">
2.     <formsloginUrl="~/Account/Login"defaultUrl="~/Home/Index"protection="All"/>
3. </authentication>
4. <authorization>
5.     <denyusers="?"/>
6.     <allowusers="*"/>
7. </authorization>

你在Login.aspx中設定登入來觸發AccountController中的Logon來登入，其中Logon程式碼：

1. public ActionResult Logon(string name,string password)   
2. {   
3.     if (name == "jianxin160" && password == "123456")   
4.     {   
5.         FormsAuthentication.SetAuthCookie(name, false);   
6.         return Redirect("~/Home/Index");   
7.     }   
8.     else
9.     {   
10.         return Redirect("/");   
11.     }   
12. }  

這樣的操作之後你會發現你的Logon是不會執行的。原因是什麼呢？怎麼同樣的設定為什麼到了MVC中就不行了？原因就是二者機制不同，因為你設定的授權方式讓Logon無法訪問了。那麼我們怎麼來做呢？

其實在Asp.Net MVC中我們有更好的方式來做這一切，我們不需要授權方式，也就是說我們的配置資訊像這樣：

1. <authenticationmode="Forms">
2.             <formsloginUrl="~/Account/Login"defaultUrl="~/Home/Index"protection="All"/>
3. </authentication>

不需要說明匿名使用者不能登入等。當然了，你會發現僅僅就這樣做肯定不行的我們還要換一種方式告訴系統哪些是需要登入才能訪問的。你或許想，o(︶︿︶)o 唉，那太麻煩了吧。其實不是這樣的，很簡單，我們只需要在需要認證的Action上標記[Authorize]就可以了。例如我在Home資料夾中有兩個頁面Index和Home，我現在想讓Index經過認證才能訪問，而Home不需要，那麼只需要給Index這個Action標記[Authorize]，也就是：

1. [Authorize]   
2. public ActionResult Index()   
3. {   
4.     return View();   
5. }   
6. public ActionResult Home()   
7. {   
8.     return View();   
9. }  

這樣Index就必須登入之後才能訪問，而Home是不需要登入的。如果你需要進行角色授權那麼您就可以在標記Authorize的時候指明角色（例如[Authorize（Role=Administrators）] ），不過您這是就必須使用微軟給我們提供的Membership機制了，因為您的Role不可能是平白無故有的，而是存在於對應的資料庫中的，這個我在另一篇部落格中提到過就不多說了。

自定義ActionFilter

有時候這樣的認證或許您還不能夠滿足，或者說您覺得不夠靈活，那麼也沒有關係，Asp.Net MVC是允許您自定義ActionFilter的。例如我現在自定義身份認證：

1. using System;  
2. using System.Collections.Generic;  
3. using System.Linq;  
4. using System.Web;  
5. using System.Web.Mvc;  
6. using System.Web.Security;   
7. namespace FormFormsAuthenticationMvc  
8. {  
9.     publicclass RequiresAuthenticationAttribute:ActionFilterAttribute  
10.     {  
11.         publicoverridevoid  OnActionExecuting(ActionExecutingContext filterContext)  
12.         {  
13.             if (!filterContext.HttpContext.User.Identity.IsAuthenticated)  
14.             {  
15.                 string returnUrl = filterContext.HttpContext.Request.Url.AbsolutePath;  
16.                 string redirectUrl = string.Format("?ReturnUrl={0}", returnUrl);  
17.                 string loginUrl = FormsAuthentication.LoginUrl + redirectUrl;  
18.                 filterContext.HttpContext.Response.Redirect(loginUrl, true);  
19.             }  
20.         }   
21.     }  
22. }  

如果需要進行使用者管理，我再定義角色相關的Filter：

1. using System;   
2. using System.Collections.Generic;   
3. using System.Linq;   
4. using System.Web;   
5. using System.Web.Mvc;   
6. using System.Web.Security;   
7. namespace MvcApplication1.MyClass   
8. {   
9.     publicclass RequiresRoleAttribute:ActionFilterAttribute   
10.     {   
11.         publicstring Role { get; set; }   
12.         publicoverridevoid OnActionExecuting(ActionExecutingContext filterContext)   
13.         {   
14.             if (!string.IsNullOrEmpty(Role))   
15.             {   
16.                 if (!filterContext.HttpContext.User.Identity.IsAuthenticated)   
17.                 {   
18.                     string returnUrl = filterContext.HttpContext.Request.Url.AbsolutePath;   
19.                     string redirectUrl = string.Format("?ReturnUrl={0}", returnUrl);   
20.                     string loginUrl = FormsAuthentication.LoginUrl + redirectUrl;   
21.                     filterContext.HttpContext.Response.Redirect(loginUrl, true);   
22.                 }   
23.                 else
24.                 {   
25.                     bool isAuthenticated = filterContext.HttpContext.User.IsInRole(Role);   
26.                     if (!isAuthenticated)   
27.                     {   
28.                         thrownew UnauthorizedAccessException("You have no right to view the page!");   
29.                     }   
30.                 }   
31.             }   
32.             else
33.             {   
34.                 thrownew InvalidOperationException("No Role Specified!");   
35.             }   
36.         }   
37.     }   
38. }