在ASP.NET MVC中使用屬性實現對象級安全性

Question

是否可以使用自定義的ActionFilterAttribute實現對象級安全性？

我讀Branislav Abadjimarinov's answer到Get permission from Authorize Attribute?並開始考慮製作類似於AuthorizeAttribute的動作過濾器來實現對象級別的安全性。

假設我是與使用目的來調用它ObjectAuthorizeAttribute：

[ObjectAuthorize] 
public ActionResult Edit(int id) 
{ 
    //... 

什麼是內OnActionExecuting訪問ID值的最簡單的方法？

是這樣的東西已經可用？

Answer 1

可以擴展AuthorizeAttribute，並有通過AuthorizationContext訪問之類的RouteData。如果您正在進行授權，我認爲從AuthorizeAttribute而不是ActionFilterAttribute開始更合理。

var id = filterContext.RouteData.Values["id"]; 

Answer 2

var id = filterContext.HttpContext.Request["id"];