.NET中唯一一个非CAS代码访问权限类：PrincipalPermission

最新推荐文章于 2018-08-31 11:36:51 发布

dz45693

最新推荐文章于 2018-08-31 11:36:51 发布

阅读量3.5k

点赞数

分类专栏： C#.NET基础文章标签： .net windows null string 搜索引擎 class

C#.NET基础专栏收录该内容

184 篇文章

订阅专栏

本文详细解析了PrincipalPermission类在.NET框架中的特殊作用，重点阐述了它与IPermission接口的关系以及如何用于验证当前用户的权限信息。通过实例展示了如何自定义IPrincipal并利用PrincipalPermission进行权限验证，特别关注了与Windows账户信息的交互，以及如何通过AppDomain.SetPrincipalPolicy方法设置应用程序域的IPrincipal。最后，文章提供了判断用户是否为管理员账户的示例，并强调了权限验证在保护软件安全方面的重要性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

System.Security.Permissions中的PrincipalPermission类是.NET中的一个比较特殊的权限类，它是目前唯一一个继承IPermission接口但是不继承CodeAccessPermission类的权限。

原因是这个权限是用来检查抽象用户权限（.NET中的IPrincipal接口），因此它和代码访问权限（CodeAccessPermission）这种基于程序集安全策略证据的权限管制没有关系，所以它成为唯一一个目前不继承CodeAccessPermission的权限类。当然它和CodeAccessPermission的本质最大区别是后者继承了IStackWalk接口（System.Security命名空间内），PrincipalPermission没有。这样的话，PrincipalPermission只有Demand方法，而IStackWalk接口除了有Demand方法，还有Assert，Deny和PermitOnly方法（分别用来断言，拒绝和只允许某个权限）。我们先通过类的继承关系图来看：

（IPermission接口）

（IStackWalk接口）

另外IStackWalk的继承类除了有CodeAccessPermission类代表代码访问权限基类，还有PermissionSet类代表一组权限。

代码访问权限类的Demand方法需要检查整个函数调用栈，确保所有函数栈中的程序都必须拥有所需权限（或者权限集合PermissionSet），一旦有一个不通过，SecurityException异常会被抛出。而PrincipalPermission这个用户权限是不需要这样做的，除非同一个函数调用栈包含不同用户级别的代码权限，显然这是不可能的。因此PrincipalPermission中的Demand拥有自己的检查机制，那就是检查当前线程的用户权限：Thread.CurrentPrincipal属性（MSDN的人工翻译是：获取或设置线程的当前负责人（对基于角色的安全性而言））。

至于Thread.CurrentPrincipal，默认是GenericPrincipal，原因是当前应用程序域的用户对象策略默认是给予PrincipalPolicy.UnauthenticatedPrincipal（这个可以在AppDomain.SetPrincipalPolicy方法中设置）。所以这个GenericPrincipal代表一个一般用户体，它的GenericPrincipal构造函数中的角色（字符串数组）是一个空字符串，而Identity属性则是一个GenericIdentity对象，标示名称是空字符串（Name属性），所以IsAuthenticated返回false。

//using System.Principal

IPrincipal principal = Thread.CurrentPrincipal;

Console.WriteLine(principal.GetType());

Console.WriteLine(principal.Identity.GetType());

输出：

System.Security.Principal.GenericPrincipal

System.Security.Principal.GenericIdentity

PrincipalPermission是用来验证当前用户信息的，显然默认的GenericPrincipal没有提供任何有用信息，我们之后会来构造一些更有用的。首先了解一下PrincipalPermission的创建。PrincipalPermission的构造函数：

class PrincipalPermission: IPermission

构造函数(string name, string role, bool isAuthenticated = true);

//name：验证用户名称，用null同意任何名称

//对应IIdentity.Name属性

//role：验证用户权限，用null同意任何权限

//对应IPrincipal.IsInRole方法

//isAuthenticated: 是否检查用户已验证（默认true）

//对应IIdentity.IsAuthenticated属性

（PrincipalPermission还有一个.NET权限都有的构造函数（参数是PermissionState枚举），但是在PrincipalPermission中没有多大用处，你可以在MSDN中查看其信息：http://msdn.microsoft.com/en-us/library/230thh38）

那么自定义一个IPrincipal接着就可以使用PrincipalPermission了：

try

{

//using System.Security;

//using System.Security.Permissions;

//using System.Security.Principal;

var permission = new PrincipalPermission("Mgen", null);

//将当前线程的IPrincipal设置成自定义的GenericPrincipal

Thread.CurrentPrincipal = new GenericPrincipal(new GenericIdentity("Mgen"), new string[] { "Programmer" });