HTTP服务器端权限验证过滤器

//自定义的过滤器类，必须继承AuthorizeAttribute类（用于验证请求的 IPrincipal 的授权筛选器）
public class NjtAuthorizeFilter : AuthorizeAttribute
    {
        //OnAuthorization(HttpActionContext actionContext)：为操作授权时调用。
        //HttpActionContext:包含HTTP正在执行的操作的信息。
        public override void OnAuthorization(HttpActionContext actionContext)
        {
            //actionContext.Request.Headers：可以获取HTTP向服务器发出的请求,包含在Header里的所有信息。
            if (actionContext.Request.Headers.Contains(Consts.HTTP_HEADER_AUTH_USER) && actionContext.Request.Headers.Contains(Consts.HTTP_HEADER_AUTH_KEY))
            {
                IEnumerable<string> arrCustomAuthName = actionContext.Request.Headers.GetValues(Consts.HTTP_HEADER_AUTH_USER);
                IEnumerable<string> arrCustomAuthKey = actionContext.Request.Headers.GetValues(Consts.HTTP_HEADER_AUTH_KEY);
                //.Any()：检查序列是否包含元素return true/false
                if (arrCustomAuthName.Any() && arrCustomAuthKey.Any())
                {
                    /* GetNjtZlPrincipal():这一步是身份验证的关键,是否通过验证都这里实现
                     * NjtZlPrincipal类继承了IPrincipal接口(定义基本功能主体对象)，并加以扩展。
                    */
                    NjtZlPrincipal principal = GetNjtZlPrincipal(arrCustomAuthName.First(), arrCustomAuthKey.First(), actionContext);
                    if (principal != null)
                    {
                        //HttpContext.Current:获取或设置当前HTTP请求的System.Web.HttpContext对象。
                        //HttpContext.Current.User：获取或设置为当前HTTP请求的安全信息。
                        HttpContext.Current.User = principal;
                        //★这步是必须的缺少这步的话,整个过滤器就不起作用【获取或设置线程的当前主体(对基于角色的安全性)】。
                        Thread.CurrentPrincipal = principal;
                    }
                }
            }
            //判断用户是否登录
            if (!HttpContext.Current.User.Identity.IsAuthenticated)
                throw new NjtWebException(NjtWebExceptionCode.Unauthorized, "身份验证失败");
        }

        protected NjtZlPrincipal GetNjtZlPrincipal(string strName, string strKey, HttpActionContext actionContext)
        {
            SimUser_BLL userBll = Managers.s_userManager.GetSimUser(strName);
            if (userBll!=null)
            {
                try
                {
                    Guid guidRequest = Guid.Empty;
                    if (!WebApiServerHelper.VerifyAuthKey(strName, strKey, actionContext.Request.RequestUri.ToString(),
                                                     userBll.Password, ref guidRequest))
                        return null;

                    //判断GUID防止重发攻击
                    if (!GlobalServerData.s_guidsetRequest.IsExistAndAdd(guidRequest))
                        return null;

                    return new NjtZlPrincipal(new NjtZlIdentity
                                                {
                                                    Name = userBll.UserName,
                                                    DispName = userBll.RealName,
                                                    Password = userBll.Password,
                                                    Role = userBll.Role
                                                });

                }
                catch (Exception)
                {
                    //Ignore any exception
                }
            }
            return null;
        }
    }
    
 //NjtZlPrincipal类
 public class NjtZlPrincipal : IPrincipal
    {
        private readonly NjtZlIdentity m_identity;

        public NjtZlPrincipal(NjtZlIdentity identity)
        {
            m_identity = identity;
        }

        //身份
        public IIdentity Identity {
            get {
                return m_identity;
            }
        }
        //角色判断
        public bool IsInRole(string role) {
            return m_identity.Role==role;
        }
    }

    public class NjtZlIdentity : IIdentity
    {
        public string AuthenticationType
        {
            get { return "Custom"; }
        }

        public bool IsAuthenticated
        {
            get { return true; }
        }

        public string Name { get; set; }

        public string DispName { get; set; }

        public string Password { get; set; }

        public string Role { get; set; }
    }