[WCF权限控制]ASP.NET Roles授权[上篇]

在采用Windows认证的情况下，使用基于Windows用户组安全主体权限模式是一个不错的选择。我们可以直接使用现有的用户组设置，也可以为相应的应用或服务创建单独的用户组。但是，由于该模式对Windows认证的依赖，意味着这种模式只能使用于局域网环境中。如果采用证书和Windows帐号的映射，也可以适用于像B2B这样的外部网环境。在其他的网络环境中，基于Windows用户组的授权方式将会无能为力。此外，还具有这样一种状况：即使是在同一个局域网环境中，并且也采用Windows进行客户端认证，但是我们不想创建太多的Windows用户组，而是将用户的权限信息维护在相应的数据库中，通过单独的安全系统来维护。在这种情况下，基于ASP.NET角色管理模块的授权模式是一个不错的选择。

目录：
一、 ASP.NET Roles提供程序
二、 ASP.NET Roles授权与认证的无关性
三、 ASP.NET Roles授权 在ServiceAuthorizationBehavior中的设定

一、ASP.NET Roles提供程序

和Membership一样，Roles也是ASP.NET一个重要的提供程序，旨在解决对角色的维护和基于角色的授权。ASP.NET Roles同样采用策略设计模式，角色的添加、删除、获取以及授权功能定义在System.Web.Security.RoleProvider这个抽象类中。而ASP.NET默认提供了如下三个具体的RoleProvider，它们同时也体现了角色和授权信息的三种不同的存储形式。如果它们还不能满足你的具体授权要求，你还可以自定义RoleProvider。比如说，如果你使用的数据库是Oracle，你可以参考SqlRoleProvider自定义一个OracleRoleProvider。

• SqlRoleProvider：将角色和授权信息存储于SQL Server数据库预定义的表中；
• WindowsTokenRoleProvider：直接使用Windows用户组进行授权，这是一个只读的RoleProvider，角色（用户组）的添加和删除操作是不允许的；
• AuthorizationStoreRoleProvider：使用Authorization Manager（AzMan）库做作为角色存储。

ASP.NET Roles相关的功能基本上都可以通过调用Roles这个静态类的相应的方法来完成。下面的代码片断列出了Roles的主要方法。其中CreateRole和DeleteRole用于进行角色创建和删除；RoleExists用户确定指定的角色是否存在；而AddUser(s)ToRole(s)和RemoveUser(s)FromRole(s)则用以建立和解除用户和角色的关系。而IsUserInRole用以确定指定的用户具有相应的角色。

public static class Roles
{
    //其他成员
    public static void CreateRole(string roleName);
    public static bool DeleteRole(string roleName);
    public static bool DeleteRole(string roleName, bool throwOnPopulatedRole);
    public static bool RoleExists(string roleName);

    public static void AddUsersToRole(string[] usernames, string roleName);
    public static void AddUsersToRoles(string[] usernames, string[] roleNames);
    public static void AddUserToRole(string username, string roleName);
    public static void AddUserToRoles(string username, string[] roleNames);

    public static void RemoveUserFromRole(string username, string roleName);
    public static void RemoveUserFromRoles(string username, string[] roleNames);
    public static void RemoveUsersFromRole(string[] usernames, string roleName);
    public static void RemoveUsersFromRoles(string[] usernames, string[] roleNames);

    public static bool IsUserInRole(string roleName);
    public static bool IsUserInRole(string username, string roleName);
}

针对Roles的方法AddUser(s)ToRole(s)，有一点值得一提：这四个方法并不会进行用户账号存在与否的验证。原因很简单，用户账号的管理属于Membership的范畴，而建立用户与角色的关系才是属于角色管理需要负责的。Membership和Roles对于ASP.NET是相互独立的两个提供程序，它们不具有任何依赖关系。你完全可以采用ActiveDirectoryMembershipProvider利用AD进行用户账号管理和认证，而采用将角色维护在基于SqlRoleProvider的SQL Server数据表中。在这着情况下，当我们调用Roles的AddUser(s)ToRole(s)方法的时候，指定的用户帐号在数据库中是不存在的。所以，Roles不会进行用户存在与否的验证，它只是负责将指定的用户名添加到相应的角色之中而以。Membership和Roles的这种独立性同样体现在WCF上。

二、ASP.NET Roles授权与认证的无关性

通过前面的介绍我们很清楚地知道了Windows用户组授权依赖于Windows认证，但是如果你采用了ASP.NET Roles安全主体权限模式，你可以采用任何非匿名客户端凭证和认证方式。也就是说，ASP.NET Roles模式真正体现了认证和授权的无关性。

在采用ASP.NET Roles安全主体权限模式下，最终创建并作为当前线程安全主体的是一个RoleProviderPrincipal对象。而该RoleProviderPrincipal的Identity与当前ServiceSecurityContext的PrimaryIdentity属性实际上是同一个对象。两者的统一性可以通过于如下的验证程序来体现。

IIdentity identity1 = Thread.CurrentPrincipal.Identity;
IIdentity identity2 = ServiceSecurityContext.Current.PrimaryIdentity;
Debug.Assert(object.ReferenceEquals(identity1,identity2));

原则上，只要通过本认证的用户名能够通过ASP.NET Roles正确获取到反映权限的角色列表，授权就能顺利进行。如果采用Windows认证（包括之前提到的三种情况），你需要针对Windows帐号（域名/用户名）进行角色分配。如果采用基于Membership和Custom的用户名/密码认证，则直接针对用户名角色的分配。如果采用证书凭证并不允许Windows帐号映射，那么被认证的用户名是证书主体名称和指纹的组合（<<主题名称>>； <<指纹>>），你需要以此进行权限（角色）的设置。

三、ASP.NET Roles授权 在ServiceAuthorizationBehavior中的设定

之前已经说过了，所有基于安全主体授权的编程都体现在ServiceAuthorizationBehavior这个服务行为上。如果要让WCF采用ASP.NET Roles进行授权，我们需要将ServiceAuthorizationBehavior的PrincipalPermissionMode属性设置成PrincipalPermissionMode.UseAspNetRoles，并为其RoleProvider属性指定一个具体的RoleProvider。至于RoleProvider的获取，你可以通过Roles的Provider得到默认的RoleProvider。此外，Roles还具有一个类似于字典类型的Providers属性返回所有配置的RoleProvider列表，你可以通过传入配置名称获取相应的RoleProvider。

public sealed class ServiceAuthorizationBehavior : IServiceBehavior
{
    //其他成员
    public PrincipalPermissionMode PrincipalPermissionMode { get; set; }
    public RoleProvider RoleProvider { get; set; }
}
public static class Roles
{
    //其他成员
    public static RoleProvider Provider { get; }
    public static RoleProviderCollection Providers { get; }
}

下面给出的是一段基于自我寄宿的代码。在开启ServiceHost之前，我们为服务指定了一个ServiceAuthorizationBehavior行为，并将其安全主体权限模式设置成PrincipalPermissionMode.UseAspNetRoles，该ServiceAuthorizationBehavior使用当前配置的默认RoleProvider。

using (ServiceHost host = new ServiceHost(typeof(CalculatorService)))
{
    host.Authorization.PrincipalPermissionMode = PrincipalPermissionMode.UseAspNetRoles;
host.Authorization.RoleProvider = Roles.Provider
    host.Open();
    //...
}

我们还是一如既往地推荐采用配置的方式进行服务授权的设置。在下面这段配置中，我们在<system.web>/<roleManager>节点下配置了一个唯一的类型为SqlRoleProvider的RoleProvider。该SqlRoleProvider的配置名称为sqlRoleProvider，而目标数据库对应的连接字符串名称为aspNetDb。而ServiceAuthorizationBehavior配置在名称为aspNetRolesAuthorization的服务行为配置节中，反映其安全主体权限模式的principalPermissionMode属性被设置成UseAspNetRoles，而roleProviderName属性则正是配置的RoleProvider的名称。

<configuration>
  <connectionStrings>
    <add name="aspNetDb" connectionString="..." providerName="System.Data.SqlClient"/>
  </connectionStrings>
  <system.web>
    <roleManager enabled="true" defaultProvider="SqlRoleProvider">
      <providers>
        <add name="sqlRoleProvider"
type="System.Web.Security.SqlRoleProvider, System.Web, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a"
connectionStringName="aspNetDb" applicationName="AspRolesAuthorizationDemo"/>
      </providers>
    </roleManager>
    </system.web>
  <system.serviceModel>
    <services>
      <service name="Artech.WcfServices.Services.CalculatorService" behaviorConfiguration="aspNetRolesAuthorization">
        <endpoint address="http://127.0.0.1/calculatorservice" binding="ws2007HttpBinding"
contract="Artech.WcfServices.Contracts.ICalculator"/>
      </service>
    </services>
    <behaviors>
      <serviceBehaviors>
        <behavior name="aspNetRolesAuthorization">
          <serviceAuthorization principalPermissionMode="UseAspNetRoles" roleProviderName="sqlRoleProvider"/>
        </behavior>
      </serviceBehaviors>
    </behaviors>
  </system.serviceModel>
</configuration>

为了让读者对基于ASP.ENT Roles授权方式有一个全面的认识，我们将在《下篇》做一个具体的实例演示，敬请期待。

[WCF权限控制]ASP.NET Roles授权[上篇]
[WCF权限控制]ASP.NET Roles授权[下篇]