Einen Benutzer beschränken, um nur auf seine Entitäten zuzugreifen In Entity framework6 Repository pattern

Question

Ich arbeite an einem ASP.NET MVC5-Projekt mit Repository Muster zum ersten Mal. Es hat viele Rollen und es wird eine Anzahl von Benutzern in jeder Rolle geben. Bis jetzt habe ich verschiedene Model-Entitäten erstellt und hinzufügen, aktualisieren, löschen Szenarien funktionieren gut. Beim Testen der Dinge habe ich festgestellt, dass ein Benutzer die Entitäten aktualisieren kann, die ihm nicht gehören.

Ich möchte den Benutzer auf den Zugriff beschränken, bearbeiten, aktualisieren, löschen Sie nur die Entitäten (Zeilen in db), die dem Benutzer selbst gehören, nicht die anderen.

Ich weiß, ich muss irgendwo die userId des aktuellen angemeldeten Benutzers überprüfen, aber wo sollte ich dies wo Bedingung im Fall von Repository pattern with Entity Framework setzen.

Zwei Möglichkeiten, die mir in den Sinn kommen: Ändern der Modelle in userId -Eigenschaft in jeder Entität oder Verbinden jeder Entität mit ihrer übergeordneten Entität, um die zugehörigen Benutzerdetails zu erhalten (Die komplette Kette von Entitäten, um die userId zu erhalten).

Was wäre der bevorzugte Weg, dies zu implementieren? Danke!

Answer 1

Sie SaveChanges Methode von DbContext außer Kraft setzen kann und prüfen, ob ein Benutzer nur seine/ihre eigenen Einheiten zu ändern. Diese Lösung funktioniert in jedem Muster, das EntityFramework verwendet.

Zuerst müssen Sie eine Schnittstelle schreiben, die UserId hat und jede Entitäten müssen es implementieren.

public interface IEntity 
{ 
    int UserId { get; set; } 
} 

public Blog : IEntity 
{ 
    public int BlogId { get; set; } 
    public string Url { get; set; } 
    public int UserId { get; set; } 
} 

Dann müssen Sie SaveChanges überschreiben. Wenn in dieser Methode eine Entität geändert oder gelöscht wird, prüfen wir, ob UserId übereinstimmt, andernfalls wird die Ausnahme ausgelöst. und für die Entitäten, die hinzugefügt wird, um Ihnen aktuelle Benutzer-ID

public class ApplicationDbContext : DbContext 
{ 
    public override int SaveChanges() 
    { 

     var ModifiedDeletedEntities = ChangeTracker.Entries() 
       .Where(E => E.State == EntityState.Deleted || 
          E.State == EntityState.Modified).ToList(); 
     foreach (IEntity entity in ModifiedDeletedEntities) 
     { 
      if (entity.UserId != GetCurrentUserId()) 
      { 
       throw new Exception("Access Denied!"); 
      } 
     } 



     var AddedEntities = ChangeTracker.Entries() 
       .Where(E => E.State == EntityState.Added).ToList(); 
     foreach (IEntity entity in AddedEntities) 
     { 
      entity.UserId = GetCurrentUserId(); 
     } 



      return base.SaveChanges(); 

    } 

Answer 2

Wenn Sie jede Entität mit ihrer übergeordneten Entität verbinden, um die zugehörigen Benutzerdetails abzurufen (die vollständige Kette von Entitäten, um die userId zu erhalten), wäre das gut. Erstellen Sie eine BaseEntity Allgemeingut wie UserId haben -

public class BaseEntity { 
    public int UserId {get;set;} 
} 

Andere Unternehmen, die Basisentität erben, so dass sie von Natur aus die gemeinsame UserId Eigenschaft haben kann -

public class OtherEntity : BaseEntity { 
    // properties 
} 

Answer 3

Eine andere Lösung ist die Verwendung Die neue SQL Server 2016-Funktion: Sicherheit auf Zeilenebene. (auch auf Azure verfügbar)

Mit diesem können Sie das Abfrageergebnis auf Datenbankebene filtern.

Ein guter Ausgangspunkt für diese: https://azure.microsoft.com/en-us/documentation/articles/web-sites-dotnet-entity-framework-row-level-security/