在ASP.NET MVC中使用属性实现对象级安全性

Question

是否可以使用自定义的ActionFilterAttribute实现对象级安全性？

我读Branislav Abadjimarinov's answer到Get permission from Authorize Attribute?并开始考虑制作类似于AuthorizeAttribute的动作过滤器来实现对象级别的安全性。

假设我是与使用目的来调用它ObjectAuthorizeAttribute：

[ObjectAuthorize] 
public ActionResult Edit(int id) 
{ 
    //... 

什么是内OnActionExecuting访问ID值的最简单的方法？

是这样的东西已经可用？

Answer 1

可以扩展AuthorizeAttribute，并有通过AuthorizationContext访问之类的RouteData。如果您正在进行授权，我认为从AuthorizeAttribute而不是ActionFilterAttribute开始更合理。

var id = filterContext.RouteData.Values["id"]; 

Answer 2

var id = filterContext.HttpContext.Request["id"];