Asp.net WebApi 中的自定义授权 什么乱七八糟

我应该使用哪些方法:IsAuthorized还是OnAuthorized？(或

如果授权逻辑不依赖于已建立的身份和角色，您将扩展AuthorizationFilterAttribute.对于与用户相关的授权，您将扩展并使用AuthorizeAttribute.对于前一种情况，您将覆盖OnAuthorization.对于后一种情况，您将覆盖IsAuthorized.正如您可以从这些属性的源代码中看到的那样，如果您从AuthorizationFilterAttribute派生，OnAuthorization将被标记为虚拟，以便您进行覆盖.另一方面，IsAuthorized方法在AuthorizeAttribute中被标记为虚拟的.我相信这是指向预期用途的一个很好的指针.

我什么时候给基地打电话.未授权或未授权.授权？

这个问题的答案在于OO通常是如何工作的.如果重写一个方法，则可以完全提供一个新的实现，也可以借助父级提供的实现来增强行为.例如，以IsAuthorized(HttpActionContext)为例.基类行为是根据过滤器中指定的内容和建立的标识判断用户/角色.比如说，你想做所有这些，但除此之外，你想判断其他东西，可能是基于请求头或其他东西.在这种情况下，可以提供这样的覆盖.

protected override bool IsAuthorized(HttpActionContext actionContext)
{
    bool isAuthroized = base.IsAuthorized(actionContext);
    // Here you look at the header and do your additional stuff based on actionContext
    // and store the result in isRequestHeaderOk
    // Then, you can combine the results
    // return isAuthorized && isRequestHeaderOk;
}

对不起，我不明白你的问题3.顺便说一句，授权过滤器已经存在很长一段时间了，人们在各种事情上都使用它，有时也不正确.

还有一件事.最后有个家伙说:你

说这话的人是门禁之神多米尼克.显然，这将是正确的.如果您查看OnAuthorization的实现(复制如下)，

public override void OnAuthorization(HttpActionContext actionContext)
{
    if (actionContext == null)
    {
        throw Error.ArgumentNull("actionContext");
    }

    if (SkipAuthorization(actionContext))
    {
        return;
    }

    if (!IsAuthorized(actionContext))
    {
        HandleUnauthorizedRequest(actionContext);
    }
}

对SkipAuthorization的调用是确保应用AllowAnonymous个过滤器的部分，即跳过授权.如果你覆盖了这个方法，你就会失go 这种行为.实际上，如果您决定基于用户/角色进行授权，那么此时您将决定从AuthorizeAttribute派生.此时留给您的唯一正确选项是覆盖IsAuthorized，而不是已经覆盖的OnAuthorization，尽管从技术上讲，这两种方法都是可以做到的.

在ASP.NET Web API，还有另一个过滤器称为身份验证过滤器.这个 idea 是，您使用它进行身份验证，并使用授权过滤器进行授权，正如名称所示.然而，有很多例子表明这一界限是模糊的.许多authroization过滤器示例将执行某种身份验证.不管怎样，如果你有时间想了解更多，看看这个MSDN article.免责声明:这是我写的.