在上一篇的webapi框架搭建-安全机制（三）-简单的基于角色的权限控制，某个角色拥有哪些接口的权限是用硬编码的方式写在接口上的，如RBAuthorize(Roles = “user,member”)，在小的项目里，其实也够用了，但如果项目的需求就是要可在后台管理界面里动态配置某某角色有某某接口的权限怎么办？这编我们一起来实现。
首先，我们要在数据库里存储这些需要权限控制的接口，其次，要在上编的RBAuthorizeAttribute的IsAuthorized方法里重写自己逻辑。
共4张表：用户表、角色表、资源表、权限表
用户表：只记录用户的基本信息，如id，用户名，姓名，性别，密码等
角色表：只记录角色的基本信息，如角色名，id
资源表：只记录“需要做权限控制的资源”，这些“资源”可以是菜单，接口等。
权限表：记录“哪些角色对哪些资源有访问权限”
用户角色关系表：记录用户和角色的关系
四个表的实体对应如下
用户表
角色表
用户角色关系表
资源表
权限表
核心代码:
说明：在IsAuthorized方法里判断用户是否有某个资源的权限。下面是我的思路
1）获取用户的角色
在前面的博客里，IdentityBasicAuthentication已经从http请求头里将token解密并知道了用户的角色，并将角色写入到了IPrincipal对象，所以RBAuthorizeAttribute只要从IPrincipal里取出来就行，即如下的代码：IPrincipal principal = actionContext.ControllerContext.RequestContext.Principal;
2）获取该请求资源的所有角色数组
我创建了authorizeService类，用于处理这一个逻辑，博友们可以下载我的框架，只要改一下authorizeService类里的GetResourceRoleNames方法就行。
3）判断是否有权限
首先principal不能为空，且principal.Identity是已经通过身份验证的（即Identity.IsAuthenticated==true），并且用户的角色在资源权限角色数组里。
return principal != null && principal.Identity != null && principal.Identity.IsAuthenticated && ( (((IEnumerable<string>)roleNames).Any<string>(new Func<string, bool>(principal.IsInRole))) );
各辅助代码也附上
AuthorizeService代码
源码地址：https://github.com/shengyu-kmust/webapi.git
原文链接：https://www.cnblogs.com/shengyu-kmust/p/8296168.html
原创文章，作者：优速盾-小U，如若转载，请注明出处：https://www.cdnb.net/bbs/archives/18117
