.NET WebAPI集中授权

在.NET WebAPI中，我创建了一种方法，将所有授权规则都放在一个中心位置，而不是分散在控制器中。我很好奇为什么这种集中化没有更频繁地进行；是否存在影响/安全问题？

我目前的方法是在App_Start期间创建一个字典，其中包含我的所有授权数据，然后使用DelegatingHandler应用限制(下面的代码(。字典键是Controller和Action的元组，值是授权的角色。DelegatingHandler绑定到WebAPI的路由配置以获取调用哪个控制器，然后使用Dictionary来确定是否允许请求。

字典：

var authorizations = new Dictionary<Tuple<string, string>, string>();
authorizations.Add(new Tuple<string, string>("values", "get"), "public");
authorizations.Add(new Tuple<string, string>("values", "put"), "private");

委派处理程序：

public class SecurityDelegateHandler : DelegatingHandler
{
    private readonly Dictionary<Tuple<string, string>, string> _authorizations;
    public SecurityDelegateHandler(Dictionary<Tuple<string, string>, string> auth)
    {
        _authorizations = auth;
    }
    protected override Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        var config = GlobalConfiguration.Configuration;
        var controllerSelector = new DefaultHttpControllerSelector(config);
        var descriptor = controllerSelector.SelectController(request);
        string restrictions;
        if (!_authorizations.TryGetValue(
                new Tuple<string, string>(descriptor.ControllerName.ToLower(),
                request.Method.ToString().ToLower()), out restrictions))
        {
            return Task<HttpResponseMessage>.Factory.StartNew(() =>
                        request.CreateResponse(HttpStatusCode.Forbidden, 
                        "Access denied on unconfigured actions"), 
                        cancellationToken);
        }
        if (!(Roles.Provider).GetRolesForUser(
               HttpContext.Current.User.Identity.Name).Any(r => 
               restrictions.Contains(r)))
        {
            return Task<HttpResponseMessage>.Factory.StartNew(() => 
                        request.CreateResponse(HttpStatusCode.Forbidden, 
                        "Access Denied"), cancellationToken);
        }
        return base.SendAsync(request, cancellationToken);
    }
}

总之，我的问题是：

• 以这种方式实现基于角色的授权有什么问题吗
• 有什么好的软件包可以处理WebAPI的集中授权吗？我研究过FluentSecurity，但它似乎不支持WebAPI

谢谢！