联合身份标识：使用WIF实现ASP.NET被动身份验证

您可以使用以下任何方法进行授权：

使用位置特定的授权设置限制对目录或各应用程序资源的访问。

使用 ASP.NET 登录控件（如 LoginView 控件）控制对功能的访问。

使用 ClaimsPrincipal 执行动态 IsInRole 检查（如动态隐藏或显示 UI 元素）。

使用 PrincipalPermission 类型或 PrincipalPermissionAttribute（如果声明性权限请求看起来适用于某种特定方法）执行动态权限请求。

提供自定义 ClaimsAuthorizationManager，将访问权限检查集中在一个组件中，即使在加载请求的资源之前也不例外。

在上述方法中，前三个需要使用 ClaimsPrincipal 类型公开的 IsInRole 方法。您必须选择一个适合于 IsInRole 检查的角色声明类型，以便使用正确的声明控制访问。WIF 的默认角色声明类型为：

http://schemas.microsoft.com/ws/2008/06/identity/claims/role

如果 ClaimsPrincipal 包含定义的声明，则角色声明类型将与默认值匹配。稍后，我将讨论声明转换上下文中的权限声明。使用这些声明时，应将权限声明类型指定为角色声明类型，以便使 IsInRole 生效。

您可以使用 web.config 文件对访问特定页面或特定目录进行全局控制。在应用程序根目录中提供一个位置标记，指定要保护的路径，允许可接受的角色进行访问，拒绝所有其他用户的访问。下面的代码只允许 Administrators 访问 AdminOnly 目录下的文件：

<location　path="AdminOnly">
　 <system.web>
　　 <authorization>
　　　 <allow　roles="Administrators"　/>
　　　 <deny　users="*"/>
　　 </authorization>
　 </system.web>
</location>

此外，您还可以在任何子目录中放置 web.config，用于指定授权规则。将下面的配置放置到 AdminOnly 目录中，结果是一样的：

<configuration>
　 <system.web>
　　 <authorization　>
　　　 <allow　roles="Administrators"　/>
　　　 <deny　users="*"/>
　　 </authorization>
　 </system.web>
</configuration>

要动态隐藏或显示 UI 组件或控制对页面内功能的访问，可以使用基于角色的控件功能（如 LoginView）。但是，大多数开发人员更愿意在页面加载过程中显式设置控件的访问控制属性，以获得更精细的控制。为此，您可以调用 ClaimsPrincipal 公开的 IsInRole 方法。您可以通过 Thread.CurrentPrincipal 静态属性访问当前主体，如下所示：

if　(!Thread.CurrentPrincipal.IsInRole("Administrators"))
　 throw　new　SecurityException("Access　is　denied.");

除了在运行时显式检查 IsInRole