コントローラとアクションの一元化された承認（ASP.NET MVC 3）

Question

カスタムAuthorizeAttibute（グローバルに登録された）内で、コントローラタイプとアクションの呼び出しに基づいて承認を適用する可能性のあるセキュリティ上の問題や落とし穴がありますか？

（実際のコードではありません）

string controllerFullName=_filterContext.ActionDescriptor.ControllerDescriptor.ControllerType.FullName; 

string minRequiredRole = GetControllerMinRequiredRole(controllerFullName); 

if(User.MeetsRoleRequirement(minRequiredRole)) 
{ 
    //give access 
} 
else 
{ 
    //no you're not allowed 
} 

Answer 1

主な問題は、認可キャッシングにあります。そのため、知っておくべきことがいくつかあります。既存の属性のコードとどのようにそれはあなたが基本属性がないように、同じ問題を引き起こしてアレント確実にするために、キャッシングを扱う時

Creating a AuthorizeAttribute - what do I need to know?

ルック：私はここに投稿したリンクをチェックしてください。