ASP.NET MVC Filter筛选器的执行

以你之姓@ 2021-06-26 16:06 273阅读 0赞

# Filter筛选器的执行 #

ASP.NET-MVC的筛选器是一种基于AOP(面向方面编程)的设计，我们将一些非业务的逻辑实现在相应的筛选器，并以一种横切( Crosscutting)的方式应用到对应的 Action 方法上。  
![在这里插入图片描述][20210101150345948.png]

在Action方法执行前后，这些筛选器会自动执行。

ASP.NETMVC 提供了 AuthorizationFilter、ActionFilter、ResultFilter和ExceptionFilter这四种筛选器，它们对应着四个接口IAuthorizationFilter、IActionFilter、IResultFilter 和 IExceptionFilter。

经常应用在用户权限验证、系统日志、异常处理、缓存等功能上。

<table> 
 <thead> 
  <tr> 
   <th>Filter类型</th> 
   <th>接口</th> 
   <th>MVC默认实现</th> 
   <th>Description</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>Authorize</td> 
   <td>IAuthorizationFilter</td> 
   <td>AuthorizeAttribute</td> 
   <td>最先执行，在其他类型的filter和action方法前执行</td> 
  </tr> 
  <tr> 
   <td>ActionFilter</td> 
   <td>IActionFilter</td> 
   <td>ActionFilterAttribute</td> 
   <td>在action方法执行前和执行后执行</td> 
  </tr> 
  <tr> 
   <td>Result</td> 
   <td>IResultFilter</td> 
   <td>ActionFilterAttribute</td> 
   <td>在result执行前和执行后执行</td> 
  </tr> 
  <tr> 
   <td>Exception</td> 
   <td>IExceptionFilter</td> 
   <td>HandleErrorAttribute</td> 
   <td>在抛出异常时执行，（异常发生在action/result/filter）</td> 
  </tr> 
 </tbody> 
</table>

**先后顺序**  
IAuthorizationFilter -> IActionFilter - >IResultFilter ->IExceptionFilter

## AuthorizeAttribute ##

是所有`Filter`类型第一个执行的`Filter`，在`Action`调用前执行，需要实现`IAuthorizationFilter`接口。

我们可以通过使用控制器上或者控制器内部特定操作上的Authorize操作过滤器来实现，甚至可以为整个应用程序全局使用Authorize操作过滤器。

Authorize Attribute是ASP.NET MVC自带的默认授权过滤器，可用来限制用户对操作方法的访问。将该特性应用于整个控制器，就可以快速将其应用于控制器中的每个方法。

MSDN:

> https://msdn.microsoft.com/zh-cn/library/system.web.mvc.authorizeattribute(v=vs.118).aspx

在控制器或方法上使用Authorize特性：

[Authorize]
    public class TestController : Controller
    { 
        ......
    }

### 接口含义 ###

//请求Action前调用
    public virtual void OnAuthorization(AuthorizationContext filterContext);
    
    //是否允许该用户通过验证，返回布尔值，OnAuthorization会调用到该方法
    protected virtual bool AuthorizeCore(HttpContextBase httpContext);
    
    //身份验证未通过时执行，即AuthorizeCore方法返回false时调用
    protected virtual void HandleUnauthorizedRequest(AuthorizationContext filterContext);

### 简单验证是否登录 ###

方案一，通过Session判断用户是否已经登录，并重写HandleUnauthorizedRequest方法实现跳转

/// <summary>
    /// 自定义验证授权特性
    /// </summary>
    public class CustomAuthorize : AuthorizeAttribute
    { 
        /// <summary>
        /// 处理未能授权的 HTTP 请求。
        /// 当验证没有通过的时候所执行方法
        /// </summary>
        /// <param name="filterContext"></param>
        protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
        { 
            //重定向到登录页
            filterContext.Result = new RedirectResult("/Login/SignInView");
        }
    
        /// <summary>
        /// 由OnAuthorization调用，是否允许该用户通过验证
        /// </summary>
        /// <param name="httpContext"></param>
        /// <returns></returns>
        protected override bool AuthorizeCore(HttpContextBase httpContext)
        { 
            bool isLogin = HttpContext.Current.Session["CurUser"] != null;
            return isLogin;
        }
    }

方案二，通过Session判断用户是否已经登录,重写OnAuthorization和AuthorizeCore

/// <summary>
    /// 自定义验证授权特性
    /// </summary>
    public class CustomAuthorize : AuthorizeAttribute
    { 
        public override void OnAuthorization(AuthorizationContext filterContext)
        { 
            base.OnAuthorization(filterContext);
    
            var statusResult = filterContext.Result as HttpStatusCodeResult;
    
            //通过AuthorizeCore验证，判断验证状态
            if (statusResult != null && statusResult.StatusCode == 401)
            { 
                //重定向到登录页
                filterContext.Result = new RedirectResult("/Login/SignInView");
            }
        }
    
        /// <summary>
        /// 由OnAuthorization调用，是否允许该用户通过验证
        /// </summary>
        /// <param name="httpContext"></param>
        /// <returns></returns>
        protected override bool AuthorizeCore(HttpContextBase httpContext)
        { 
            bool isLogin = HttpContext.Current.Session["CurUser"] != null;
            return isLogin;
        }
    }

在控制器中的调用示例：

/// <summary>
    /// 主页控制器
    /// 添加在类前面的 [CustomAuthorize] 特性标签表示该特性对控制器内所有Action均有作用
    /// 同样的，我们也可以将 [CustomAuthorize] 特性标签添加在Action方法的前面
    /// </summary>
    [CustomAuthorize]
    public class HomeController : Controller
    { 
        /// <summary>
        /// 主页
        /// </summary>
        /// <returns></returns>
        public ActionResult Index()
        { 
            return View();
        }
    
        /// <summary>
        /// 结合类前 [CustomAuthorize] 特性标签，如果有Action需要实现匿名访问，即忽略验证
        /// 则需要添加该特性标签 [AllowAnonymous]
        /// </summary>
        /// <returns></returns>
        [AllowAnonymous]
        public ActionResult AnyoneView()
        { 
            return View();
        }
    }

## ActionFilterAttribute ##

有时候你想在调用action方法之前或者action方法之后处理一些逻辑，为了支持这个，ASP.NET MVC允许你创建action过滤器。

Action过滤器是自定义的Attributes，用来标记添加Action方法之前或者Action方法之后的行为到控制器类中的Action方法中。

一些可能用到Action过滤器的地方有：

*  日志
 *  身份验证和授权 － 限制用户的访问
 *  输出缓存 － 保存一个Action的结果
 *  网络爬虫的过滤
 *  本地化
 *  动态Action － 将一个Action注入到控制器中

MSDN:

> https://msdn.microsoft.com/zh-cn/library/system.web.mvc.actionfilterattribute(v=vs.118).aspx

### 接口含义 ###

//1、执行Action前调用
    public virtual void OnActionExecuting(ActionExecutingContext filterContext);
    
    //2、执行Action后调用
    public virtual void OnActionExecuted(ActionExecutedContext filterContext);
    
    //3、在返回执行操作结果前
    public virtual void OnResultExecuting(ResultExecutingContext filterContext);
    
    //4、在执行操作结果后
    public virtual void OnResultExecuted(ResultExecutedContext filterContext);

### 简单权限设计与实现 ###

通过用户表的Roles字段，和自定义特性的角色设置，简单达到可配置化的权限管理，修改用户角色字段即可控制用户是否具有访问某Action的权限。

用户表结构如下：

<table> 
 <thead> 
  <tr> 
   <th>列名</th> 
   <th>数据类型</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>id</td> 
   <td>int</td> 
   <td>唯一标识</td> 
  </tr> 
  <tr> 
   <td>zh_name</td> 
   <td>varchar(20)</td> 
   <td>中文名称</td> 
  </tr> 
  <tr> 
   <td>name</td> 
   <td>varchar(20)</td> 
   <td>登录ID</td> 
  </tr> 
  <tr> 
   <td>pwd</td> 
   <td>varchar(20)</td> 
   <td>登录密码</td> 
  </tr> 
  <tr> 
   <td>roles</td> 
   <td>varchar(50)</td> 
   <td>该用户角色，多个角色用逗号分隔</td> 
  </tr> 
 </tbody> 
</table>

用户表对应的实体类：

/// <summary>
    /// 用户实体
    /// </summary>
    public class User
    { 
        /// <summary>
        /// 唯一标识
        /// </summary>
        public int ID {  get; set; }
        /// <summary>
        /// 中文昵称，此属性名称需要与数据库对应
        /// </summary>
        public string Zh_Name {  get; set; }
        /// <summary>
        /// 登录用户名
        /// </summary>
        public string Name {  get; set; }
        /// <summary>
        /// 登录密码
        /// </summary>
        public string Pwd {  get; set; }
        /// <summary>
        /// 角色
        /// </summary>
        public string Roles {  get; set; }
    }

BLL层中保存上下文对象，即Session中对象

/// <summary>
    /// 当前上下文对象
    /// </summary>
    public class ContextObjects
    { 
        /// <summary>
        /// 当前用户对象（ASP.NET版本设计）,需要当前BLL层引入System.Web.dll
        /// 用户登录时设置该属性，对Session["CurUser"]操作的一个简单封装
        /// </summary>
        public static User CurrentUser
        { 
            get
            { 
                return HttpContext.Current.Session["CurUser"] as User;
            }
            set
            { 
                HttpContext.Current.Session["CurUser"] = value;
            }
        }
    }

自定义Action过滤器，通过重写Action调用前的方法OnActionExecuting实现动态权限的验证，示例如下：

public class CustomActionFilterAttribute : ActionFilterAttribute
    { 
        /// <summary>
        /// 角色名称
        /// 多个角色使用英文逗号（,）分隔
        /// </summary>
        public string Roles {  get; set; }
    
        public override void OnActionExecuting(ActionExecutingContext filterContext)
        { 
            base.OnActionExecuting(filterContext);
    
            //登录页面不做权限判断
            RouteValueDictionary routeDic = filterContext.RouteData.Values;
    
            if (routeDic["controller"].ToString().ToLower().Equals("login")
                && routeDic["action"].ToString().ToLower().Equals("signinview"))
            { 
                return;
            }
    
            //当前未登录，重定向到登录页
            if (HttpContext.Current.Session["CurUser"] == null)
            { 
                filterContext.Result = new RedirectResult("/Login/SignInView");
                return;
            }
    
            //是否具有访问权限，默认为false
            bool isAuthorize = false;
    
            //已登录用户，判断权限
            //ContextObjects.CurrentUser.Roles 当登录时从数据库读取
            if (!string.IsNullOrEmpty(ContextObjects.CurrentUser.Roles))
            { 
                //特性中配置的角色
                string[] requireRoles = Roles.Split(',');
    
                //当前用户所具有的角色
                string[] userRoles = ContextObjects.CurrentUser.Roles.Split(',');
    
                //判断是否有匹配角色
                foreach (string rRole in requireRoles)
                { 
                    if (userRoles.Contains(rRole)) {  isAuthorize = true; break; }
                }
            }
    
            if (!isAuthorize)
            { 
                ContentResult content = new ContentResult();
                content.Content = "对不起，您无访问权限！";
                //content.Content = @"<script type='text/javascript'>alert('对不起，您无访问权限！');</script>";
                filterContext.Result = content;
            }
        }
    }

Controller中的调用示例：

/// <summary>
    /// 主页控制器
    /// </summary>
    [CustomAuthorize]
    [CustomActionFilter(Roles = "admin")]
    public class HomeController : Controller
    { 
        /// <summary>
        /// 主页
        /// </summary>
        /// <returns></returns>
        public ActionResult Index()
        { 
            return View();
        }
    }

## `FilterAttribute`抽象类 ##

### Order属性 ###

获取或者设置执行操作筛选器的顺序。

Order 属性采用必须为 0（默认值）或更大（有一处异常）的整数值。 如果省略 Order 属性，则将为筛选器赋予顺序值 -1，这表示未指定顺序。

范围中 Order 属性设置为 -1 的任何操作筛选器将按不确定的顺序执行，但在具有指定顺序的筛选器之前执行。

以AuthorizeAttribute验证授权进行示例，自定义两个特性：

public class CustomAuthorize1 : System.Web.Mvc.AuthorizeAttribute
    { 
        public override void OnAuthorization(AuthorizationContext filterContext)
        { 
            base.OnAuthorization(filterContext);
            System.Diagnostics.Debug.WriteLine("CustomAuthorize1-OnAuthorization");
        }
    
        /// <summary>
        /// 为了测试Order，忽略验证
        /// </summary>
        /// <param name="httpContext"></param>
        /// <returns></returns>
        protected override bool AuthorizeCore(HttpContextBase httpContext)
        { 
            return true;
        }
    }
    
    public class CustomAuthorize2 : System.Web.Mvc.AuthorizeAttribute
    { 
        public override void OnAuthorization(AuthorizationContext filterContext)
        { 
            base.OnAuthorization(filterContext);
            System.Diagnostics.Debug.WriteLine("CustomAuthorize2-OnAuthorization");
        }
    
        /// <summary>
        /// 为了测试Order，忽略验证
        /// </summary>
        /// <param name="httpContext"></param>
        /// <returns></returns>
        protected override bool AuthorizeCore(HttpContextBase httpContext)
        { 
            return true;
        }
    }
    
    public class CustomAuthorize3 : System.Web.Mvc.AuthorizeAttribute
    { 
        public override void OnAuthorization(AuthorizationContext filterContext)
        { 
            base.OnAuthorization(filterContext);
            System.Diagnostics.Debug.WriteLine("CustomAuthorize3-OnAuthorization");
        }
    
        /// <summary>
        /// 为了测试Order，忽略验证
        /// </summary>
        /// <param name="httpContext"></param>
        /// <returns></returns>
        protected override bool AuthorizeCore(HttpContextBase httpContext)
        { 
            return true;
        }
    }

在Action中应用如下：

[CustomAuthorize2(Order = 2)]//最后执行
    [CustomAuthorize1(Order = 1)]//在Order=2之前执行
    [CustomAuthorize3]//Order 默认，在指定Order之前执行
    public ActionResult Index()
    { 
        return View();
    }

上面的示例中，AuthorizeCore均为true，即验证都通过。在输出窗口中打印的顺序和Order的顺序一致，输出窗口打印如下：

CustomAuthorize3-OnAuthorization
    CustomAuthorize1-OnAuthorization
    CustomAuthorize2-OnAuthorization

[20210101150345948.png]: /images/20210626/f9f8bb3c224f4e3b99db8d570c7d046b.png