【T8b】ASP.NET Core Identity の基礎(8/9)

8b-8. コントローラー／アクションごとのアクセス制御の方法

とりあえずログインとログアウトは可能になったが，いまのところログインしていようがいまいが 依然として全てのアクション/ビューにアクセスでき，かつ操作を行える状態である． アクセス制御を指定するためにはコントローラーのクラスや，アクションメソッドに [Authorize]属性や [AllowAnonymous]属性を指定する必要がある． これらを使ったアクセス制御の方法には以下の2通りの使い方がある．

• 【方法$\alpha$】コントローラー全体をユーザー認証必須にしたうえで，一部のアクションの匿名アクセスを許可する(_(1))．
• 【方法$\beta$】一部のアクションのみユーザー認証必須する(_(2))．

(1)【方法$\alpha$】

(2)【方法$\beta$】

[Authorize]属性はクラス(＝コントローラー)にもメソッド(＝アクション)にも指定することができるが， クラスに指定した場合は，そのクラスに含まれているすべてのアクションメソッドがユーザー認証必須になる． その場合でも個々のメソッドに[AllowAnonymous]属性を指定することで，未認証の匿名ユーザーからのアクセスを許可することができる．

クラスに[Authorize]属性を付けない場合は，それに含まれるすべてのメソッドは基本的に匿名ユーザーからのアクセスが可能なものとなる． この場合でも個々のメソッドに[Authorize]属性を付加すると，そのアクションメソッドはユーザー認証必須にすることができる．

これら二つの使い方の例を_に示す．ここではHogeとPiyoという名前のコントローラーがあり， 各々4つずつアクションメソッドを持っている．Hogeコントローラー(_左)は【方法$\alpha$】で， Piyoコントローラー(_右)は【方法$\beta$】でアクセス制御を設定している．

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

//////////////////////////////////////////////////
//
//　【方法α】での設定例
// 
//////////////////////////////////////////////////
[Authorize]
class HogeController : Controller
{                                      // ↓アクション名

    public IActionResult Eins(){ ... } // アイン


    public IActionResult Zwei(){ ... } // ツヴァイ

    [AllowAnonymous]
    public IActionResult Drei(){ ... } // ドライ


    public IActionResult Vier(){ ... } // フィーア
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

//////////////////////////////////////////////////
//
// 【方法β】での設定例
// 
//////////////////////////////////////////////////

class PiyoController : Controller
{                                        // ↓アクション名

    public IActionResult Funf(){ ... }   // フィンフ

    [Authorize]
    public IActionResult Sechs(){ ... }  // ゼクス

    [Authorize]
    public IActionResult Sieben(){ ... } // ズィーベン

    [Authorize]
    public IActionResult Acht(){ ... }   // アハト
}

この場合，認証済みのユーザーと未認証の匿名ユーザーがそれぞれどのアクションにアクセス可能になるかを _に示す．

Hogeコントローラーはクラス自体に[Authorize]属性が付加されているため，基本的にどのアクションも 認証を済ませたユーザーからしかアクセスができない．ただしDreiアクションには[AllowAnonymous]属性が付加されているため 例外的にこのアクションのみ匿名アクセスが可能となっている．

Piyoコントローラーはクラス自体には属性を指定していないため，基本的にどのアクションも匿名アクセスが可能である． ただしアクションSechs，Sieben，Achtには[Authorize]属性が付加されているため，結局匿名アクセスが 可能なのはFunfアクションのみとなっている．

今回のプロジェクトにはここまでの作業で，Homeコントローラー，Studentsコントローラー，Departmentsコントローラー， Circlesコントローラー，Adminコントローラーの5つのコントローラーが含まれている．これらがもつ各々のアクションのアクセスの可否は _に示すように設定することにしよう．基本的に「新規作成」や「編集」，「削除」といったデータベースの状態に変更をもたらす アクションは認証済みのユーザーしかアクセスできないようにする．なおここで例として扱っている「学生情報」は実際のシステムであれば個人情報に 相当する情報なので，本来ならば閲覧についても匿名アクセスを許すべきではない．しかし，ここでは練習のためこのようなアクセス制御を採用している ということに留意していただきたい．

AdminコントローラーのLoginアクションは匿名アクセスを許さないと誰もログインできなくなってしまうので， 匿名アクセスを許可する必要がある点に注意しよう．