ASP.NETMVC如何做一个简单的非法登录拦截

OStack程序员社区-中国程序员成长平台 › 门户 › 编程› ASP.NET›ASP.NET编程经验

原作者: [db:作者] 来自: [db:来源] 收藏邀请

摘要：做网站的时候，经常碰到这种问题，一个没登录的用户，却可以通过localhost:23244/Main/Index的方式进入到网站的内部，查看网站的信息。我们知道，这是极不安全的，那么如何对这样的操作进行拦截呢，这里记录我学到的一个小小方法。

以下是我要记录的正文部分：

　　开始讲之前声明一点，我目前的能力着实很有限，有些东西并不很懂，也可能讲不清楚，有些知识表述可能是错误的（尽量避免），主要是把我对这部分做法的理解记载下来，以后自己独立开发的时候确保不会忘记。

　　非法登录拦截，主要用到的是.net mvc里的过滤器。我们每次在执行一个方法时候，实际上程序会预先对我们设置的一些过滤条件进行验证和判断，而不同的过滤器作用的优先级是不同的，在实现这个拦截功能的时候，用到的主要是全局过滤器（关于过滤器的知识，了解并不深入，不详述）。

具体的处理思路是这样的：我们现在App_Start文件夹下的FilterConfig.cs文件中注册一个全局过滤器，这个全局过滤器的作用是——进行登录授权，也就是检查你这个用户是不是已经登录的合法用户，如果不是，那么你做的任何其他操作，系统都不会响应，而是一直把你堵在登录界面。接下来看一段代码：

代码：

using Console.App_Start;
using System.Web;
using System.Web.Mvc;

namespace Console
{
    public class FilterConfig
    {
        /// <summary>
        /// 注册全局过滤器
        /// </summary>
        /// <param name="filters"></param>
        public static void RegisterGlobalFilters(GlobalFilterCollection filters)
        {
            //filters.Add(new HandleErrorAttribute());
            //登录授权
            filters.Add(new AuthFilter());
        }
    }
}

上面的代码，主要看这一句

 filters.Add(new AuthFilter());

这句的意思是，我在这里注册了一个名为 AuthFilter的过滤器，每次后台执行某个动作之前，都必须先要通过这个过滤器的审核，审核通过执行某操作，审核不通过有执行某操作。

下面，在App_Start下新建一个名为AuthFilter.cs的类，然后在这里些授权条件，下面看一段代码：

代码如下：

using Console.Util;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;

namespace Console.App_Start
{
    public class AuthFilter:ActionFilterAttribute
    {
        public override void OnActionExecuting(ActionExecutingContext filterContext)
        {
            //如果用户未登录，且action未明确标识可跳过登录授权，则跳转到登录页面
            if (!CacheUtil.IsLogin&&!filterContext.ActionDescriptor.IsDefined(typeof(AuthEscape),false))
            {
                const string loginUrl = "~/Main/Login";
                filterContext.Result = new RedirectResult(loginUrl);
            }
            base.OnActionExecuting(filterContext);
        }
    }
}

以上代码只说明核心的拦截功能的实现，至于余下的一些关于过滤器的使用语法之类的知识点，不会讲述，因为我也不知道呀，只知道是这么写的。

重点看下面这一句：

 //如果用户未登录，且action未明确标识可跳过登录授权，则跳转到登录页面
 if (!CacheUtil.IsLogin&&!filterContext.ActionDescriptor.IsDefined(typeof(AuthEscape),false))

这是一个条件表达式，前一句 CacheUtil.IsLogin 是一个bool类型的值，为true则表示已经登录，为false则表示未登录，!CacheUtil.IsLogin表示未登录的意思，后一句

filterContext.ActionDescriptor.IsDefined(typeof(AuthEscape),false))

这里重要的其实是这个 AuthEscape,这是一个定义过滤器特性的类，在这个我们只把它作为一个标志，作为一个可以免除登录授权的标志，具体使用是这样的，比如，看下图：

我们在执行任何一个方法之前都会经过全局过滤的过滤，只有已经登录的用户才能执行action方法。但是，因为我们的登录信息是在登录之后才被记录的，那我们的登录操作，登录校验的操作不就也被挡在外面了吗，这样一来，岂不是永远无法登录了吗。所以呀，为了解决这个问题，我们就需要给这两个方法每人发一块免检通行证，也就是在他们头上写一个[AuthEscape],只要有了这个标志，那么上面的那句代码就会返回一个true,如果没有，那么就会返回false。假如既没有登录，又没有免检通行证，那么就会被拦在登录界面上。

AuthEscape.cs的代码如下：

代码：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.Mvc;

namespace Console.App_Start
{
    /// <summary>
    /// 用于标记无需登录授权验证的Action,无任何实现，在那个action上面标注这个，就可以逃过全局过滤器的过滤
    /// </summary>
    public class AuthEscape:ActionFilterAttribute
    {

    }
}