3

質問の中におかしい部分があったらすみません。

https://docs.microsoft.com/ja-jp/aspnet/core/security/authorization/policies?view=aspnetcore-2.2
にもあるように、

[Authorize(Policy = "AtLeast21")]
public class AlcoholPurchaseController : Controller
{
    public IActionResult Index() => View();
}

のようにポリシーを設定することで、アクセス制限をできると認識しています。
(現在書いているのは、RazorPagesです)

今回、あるポリシーを満たさないユーザーに対して、ページの表示はできるけど、POSTから登録はされたくないというようなことを行いたいです。
そこで、ポリシー権限をPageModelごとではなく、Post毎に設定したいのですが、できません。

[Authorize(Policy = "AtLeast21")]//ここならかける
public class EditModel : PageModel
{

    public async Task<IActionResult> OnGetAsync(int? id)
    {
         //処理①
    }

    [Authorize(Policy = "AtLeast21")]//ここにかきたい
    public async Task<IActionResult> OnPostAsync()
    {
          //処理②
    }
}

ポリシーでは上記のような実装は難しいでしょうか?
処理②の中で、権限を満たすかどうかのメソッドを書くしかないでしょうか?

ご存知の方がいたら知見を頂けると嬉しいです。

3
  • ポリシーベースではなくロールベースにすれば良いのでは?参照先の2つ手前のページに記述されています。ASP.NET Core でのロールベースの承認 CoreではないASP.NETの記事がこれです。ページ単位にユーザーのアクセス可否を制御するには?
    – kunif
    Commented 2019年6月23日 15:09
  • お返事が遅くなり申し訳ありません。コメントありがとうございます。 ロールベールだと、実装したい要件を満たせないため、ポリシーを検討しました。 (ポリシーだとメソッドっぽく権限判定をできそうかと思いました。) どうやらPostに対してはポリシーを設定できないようなので、権限の判定メソッドを新たにつくり、Post内でメソッドを呼び出す形にすることにしました。 今回は要件を満たさないため、選択しませんでしたが、ロールベースだとPostに対して設定できるのでしょうか。リンク確認してみます。ありがとうございました。 Commented 2019年7月9日 7:26
  • 個々の要求にはダメそうですね。「AuthorizeAttributeなどのフィルター属性はPageModel にのみ適用可で、特定のページ ハンドラー メソッドには適用できません。」 MSDNフォーラムとかで質問してみてはどうでしょう?
    – kunif
    Commented 2019年7月9日 11:06

1 件の回答 1

0

あるポリシーを満たさないユーザーに対して、ページの表示はできるけど、POSTから登録はされたくないというようなことを行いたいです。

その「ポリシー」というのがどういう条件でどのような判定をし、結果ユーザーにどういう応答を返すのか不明ですのでハズレかもしれませんが・・・

組み込みで用意されているユーザー入力の検証機能を利用して POST 送信されたときに「ポリシー」を満たすか否かを検証し、検証結果が NG のときはエラーメッセージとともに差し戻すということをしてはいかかでしょう。

以下の記事は Model のプロパティに CustomValidation 属性を付与して、佐藤という苗字の場合は二十歳以上でなければならないということを検証するものです。

CustomValidation 属性
http://surferonwww.info/BlogEngine/post/2020/02/25/custom-validation-attribute.aspx

同様なことはカスタムモデルバインダや IValidatableObject を継承したカスタムモデルを使っても可能です。詳しくは以下の記事を見てください。

カスタムモデルバインダ (Core 3.1)
http://surferonwww.info/BlogEngine/post/2020/02/15/aspnet-core-31-mvc-custom-model-binder.aspx

IValidatableObject を継承したカスタムモデル
http://surferonwww.info/BlogEngine/post/2020/02/28/custom-model-inheriting-ivalidatableobject-interface.aspx

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。