ClaimsAuthorizationManager.CheckAccess(AuthorizationContext) 方法

定义

命名空间:

System.Security.Claims

程序集:

System.IdentityModel.dll

在派生类中实现时，检查对指定上下文中的主题的授权，以在指定资源上执行指定操作。

public:
 virtual bool CheckAccess(System::Security::Claims::AuthorizationContext ^ context);

public virtual bool CheckAccess (System.Security.Claims.AuthorizationContext context);

abstract member CheckAccess : System.Security.Claims.AuthorizationContext -> bool
override this.CheckAccess : System.Security.Claims.AuthorizationContext -> bool

Public Overridable Function CheckAccess (context As AuthorizationContext) As Boolean

参数

context

AuthorizationContext

包含要为其检查身份授权的主题、资源和操作。

返回

Boolean

如果授权该主题在指定的资源上执行指定操作，则为 true；否则为 false。

示例

主题中使用的 ClaimsAuthorizationManager 代码示例取自示例 Claims Based Authorization 。 此示例提供一个自定义声明授权管理器，该管理器可以根据配置中指定的策略对使用者进行授权。 自定义声明授权管理器由三个基本组件组成：一个派生自 ClaimsAuthorizationManager 实现管理器的类、 ResourceAction 配对资源和操作的类，以及读取和编译配置文件中指定的策略读取器。 然后，声明授权管理器可以使用此编译的策略来评估主体，以便授权访问资源。 并非所有元素都是为了简洁起见而显示的。 有关此示例和其他可用于 WIF 的示例以及下载它们的位置的信息，请参阅 WIF 代码示例索引。

以下代码显示了方法的 CheckAccess 重写。 此方法根据从配置文件读取和编译的策略授予或拒绝访问权限。

static Dictionary<ResourceAction, Func<ClaimsPrincipal, bool>> _policies = new Dictionary<ResourceAction, Func<ClaimsPrincipal, bool>>();
PolicyReader _policyReader = new PolicyReader();

    /// <summary>
    /// Checks if the principal specified in the authorization context is authorized to perform action specified in the authorization context 
    /// on the specified resoure
    /// </summary>
    /// <param name="pec">Authorization context</param>
    /// <returns>true if authorized, false otherwise</returns>
    public override bool CheckAccess(AuthorizationContext pec)
    {
        //
        // Evaluate the policy against the claims of the 
        // principal to determine access
        //
        bool access = false;
        try
        {
            ResourceAction ra = new ResourceAction(pec.Resource.First<Claim>().Value, pec.Action.First<Claim>().Value);

            access = _policies[ra](pec.Principal);
        }
        catch (Exception)
        {
            access = false;
        }

        return access;
    }
}

以下代码显示了 ResourceAction 自定义声明管理器使用的类。

using System;

namespace ClaimsAuthorizationLibrary
{
    /// <summary>
    /// Class to encapsulate resource/action pair
    /// </summary>
    public class ResourceAction
    {
        public string Resource;
        public string Action;

        /// <summary>
        /// Checks if the current instance is equal to the given object by comparing the resource and action values
        /// </summary>
        /// <param name="obj">object to compare to</param>
        /// <returns>True if equal, else false.</returns>
        public override bool Equals(object obj)
        {
            ResourceAction ra = obj as ResourceAction;
            if (ra != null)
            {
                return ((string.Compare(ra.Resource, Resource, true) == 0) && (string.Compare(ra.Action, Action, true) == 0));
            }

            return base.Equals(obj);
        }

        /// <summary>
        /// Gets the hash code.
        /// </summary>
        /// <returns>The hash code.</returns>
        public override int GetHashCode()
        {
            return (Resource + Action).ToLower().GetHashCode();
        }

        /// <summary>
        /// Creates an instance of ResourceAction class.
        /// </summary>
        /// <param name="resource">The resource name.</param>
        /// <param name="action">The action.</param>
        /// <exception cref="ArgumentNullException">when <paramref name="resource"/> is null</exception>
        public ResourceAction(string resource, string action)
        {
            if (string.IsNullOrEmpty(resource))
            {
                throw new ArgumentNullException("resource");
            }

            Resource = resource;
            Action = action;
        }
    }
}

声明授权管理器使用的策略是由 claimsAuthorizationManager> 元素下的<自定义<policy>元素指定的。 此方法读取和编译 LoadCustomConfiguration 此策略。 在第一个策略中，主体必须拥有指定声明之一，才能对指定资源执行指定的操作。 在第二个策略中，主体必须拥有这两个声明才能对指定资源执行指定的操作。 在所有其他情况下，无论主体拥有的声明如何，主体都会自动授予访问权限。

<system.identityModel>
  <identityConfiguration>
    <claimsAuthorizationManager type="ClaimsAuthorizationLibrary.MyClaimsAuthorizationManager, ClaimsAuthorizationLibrary">
      <policy resource="http://localhost:28491/Developers.aspx" action="GET">
        <or>
          <claim claimType="http://schemas.microsoft.com/ws/2008/06/identity/claims/role" claimValue="developer" />
          <claim claimType="http://schemas.xmlsoap.org/claims/Group" claimValue="Administrator" />
        </or>
      </policy>
      <policy resource="http://localhost:28491/Administrators.aspx" action="GET">
        <and>
          <claim claimType="http://schemas.xmlsoap.org/claims/Group" claimValue="Administrator" />
          <claim claimType="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/country" claimValue="USA" />
        </and>
      </policy>
      <policy resource="http://localhost:28491/Default.aspx" action="GET">
      </policy>
      <policy resource="http://localhost:28491/" action="GET">
      </policy>
      <policy resource="http://localhost:28491/Claims.aspx" action="GET">
      </policy>
    </claimsAuthorizationManager>

    ...

  </identityConfiguration>
</system.identityModel>

注解

基本实现始终返回 true，它授权访问。 可以在派生类中重写此方法，以根据 RP 应用程序的要求授权访问。 如果此方法返回false，Windows Identity Foundation (WIF) 向调用方返回未经授权的错误;否则，执行将传递给 RP 应用程序。