Muster für die Autorisierung im Repository-Layer der MVC-Anwendung

Question

Ich habe eine Windows authentifizierte MVC-Anwendung mit einer Repository-Schicht. Die gesamte Interaktion des Controllers mit der Datenbank erfolgt über das Repository. Jeder Controller weist einen Verweis auf das Repository:

public class PostController : Controller 
{ 
    private Repository db = new Repository(); 

    [HttpPost] 
    public ActionResult DeletePost(int id) 
    { 
     // Authorize that the user is allowed to delete this post... 

     db.DeletePost(id); 
    } 
} 

Meine Frage ist, ob es ein guter Weg ist meine Berechtigungslogik in die Repository-Schicht zu bewegen. Ich möchte, dass die Funktion Repository.DeletePost() sich weigert, Beiträge zu löschen, die nicht vom authentifizierten Benutzer erstellt wurden. Das Problem ist, dass mein Repository nicht weiß, wer der authentifizierte Benutzer ist. Der Controller weiß (über Controller.User).

die Controller.User in den Repository Konstruktor nicht funktioniert, weil die Controller.User ist offenbar nicht zu dem Zeitpunkt definiert, wenn der Konstruktor aufgerufen wird.

Wie kann ich die Repository darüber informieren, wer der authentifizierte Benutzer ist? Wäre es am besten, die Repository innerhalb jeder Aktion zu konstruieren? Oder ist es eine schlechte Idee, es in der Repository-Ebene zu behandeln?

Answer 1

Gute Vorschläge von @BigDaddy und @ChrisPratt.

Ich löste dies durch Erstellen eines Basis-Controllers, ähnlich wie this answer. Meine Basis-Controller-Klasse wie folgt aussieht:

public class BaseController : Controller 
{ 
    private ILog _log; 
    private Repository _db; 

    protected Repository Db 
    { 
     get 
     { 
      return _db ?? (_db = new Repository(User)); 
     } 
    } 

    protected ILog Log 
    { 
     get 
     { 
      return _log ?? (_log = LogManager.GetLogger(this.GetType())); 
     } 
    } 
} 

Alle meine Controller von dieser Klasse erben und haben integrierten Zugriff auf einen faulen belasteten Repository, die einen Verweis auf die derzeit authentifizierten Benutzer hat.

Answer 2

Just do so etwas wie:

db.DeletePostForUser(id, User.Identity.UserId); 

Dann in Ihrem Repository:

public void DeletePostForUser(int id, int userId) 
{ 
    var post = context.Posts.SingleOrDefault(m => m.PostId == id && m.User.UserId == userId) 
    if (post != null) 
    { 
     context.Posts.Remove(post); 
     context.SaveChanges(); 
    } 
} 

Answer 3

Oder ist es eine schlechte Idee, es in der Repository-Schicht zu behandeln?

Ich denke, der Controller ist ein besserer Ort für Ihre Genehmigung. Lassen Sie das Repository ein Gateway zu den Daten sein und der Controller ein Gatekeeper für Ihre Anwendung sein. Ich würde erwarten, Autorisierungs-/Authentifizierungslogik so früh wie möglich im Lebenszyklus zu sehen.