联合身份标识：使用WIF实现ASP.NET被动身份验证

集中处理所有被请求资源的通用权限检查也是很有用的。有时，如果有访问控制策略（如存储在数据库中的规则），则可以使用中心组件读取这些规则，从而控制对特性和功能的访问。为此，WIF 提供了一个可以扩展的 ClaimsAuthorizationManager 组件。我以前的文章中提到过，您可以在身份标识模型节配置这种自定义组件类型：

<microsoft.identityModel>
　 <service>
　　 <!--other　settings-->
　　 <claimsAuthorizationManager　
　　　 type="CustomClaimsAuthorizationManager"/>
　 </service>
</microsoft.identityModel>

图 7 演示一个自定义的 ClaimsAuthorizationManager，它验证名称声明是否存在，AdminsOnly 目录内的被请求资源是否需要 Administrators 角色声明。

图 7 自定义 ClaimsAuthorizationManager 实现

public　class　CustomClaimsAuthorizationManager:
　 ClaimsAuthorizationManager　{

　 public　CustomClaimsAuthorizationManager()
　 {　}

　 public　override　bool　CheckAccess(
　　 AuthorizationContext　context)　{

　　 ClaimsIdentity　claimsIdentity　=　
　　　 context.Principal.Identity　as　ClaimsIdentity;
　　 if　(claimsIdentity.Claims.Where(
　　　 x　=>　x.ClaimType　==　ClaimTypes.Name).Count()　<=　0)
　　　 throw　new　SecurityException("Access　is　denied.");

　　 IEnumerable<Claim>　resourceClaims　=　
　　　 context.Resource.Where(x=>x.ClaimType==ClaimTypes.Name);
　　 if　(resourceClaims.Count()　>　0)　{
　　　 foreach　(Claim　c　in　resourceClaims)　{
　　　　 if　(c.Value.Contains("\AdminOnly")　&&
　　　　　 !context.Principal.IsInRole("Administrators"))
　　　　　 throw　new　SecurityException("Access　is　denied.");
　　　 }
　　 }

　　 return　true;
　 }
}

CustomClaimsAuthorizationManager 通过重写 CheckAccess 实现这一功能。此方法提供一个 AuthorizationContext 参数，该参数提供有关如下内容的信息：请求操作（对于被动联合来说，是 HTTP 谓词，如 GET 或 POST）、请求的资源（一个 URI）和尚未附加到请求线程的 ClaimsPrincipal。