Berechtigungsbasierte Autorisierung .net-Identität

Question

Ich bin neu in .NET, MVC & Identity Framework. Mir ist aufgefallen, dass das Identitäts-Framework es ermöglicht, einzelne Controller-Aktionen über Annotationen zu sichern.

[Authorize] 
public ActionResult Edit(int? Id){ 
    //edit action 
} 

Ich möchte bestimmte Aktionen basierend auf Benutzerberechtigungen sichern.

Beispiel: Eine Bloganwendung, in der nur der Benutzer, der einen Blogeintrag erstellt hat, bearbeiten kann.

In diesem Sinne, ist es möglich, beide Optionen unten auszuführen? Wenn ja, gibt es Ressourcen und Beispiele dafür, wie Sie am besten erreichen können?

[Authorize(Entity = "Entry", Permission = "Edit", Id = Id)] 
public ActionResult Edit(int? Id){ 
    //edit action 
} 

oder

[BlogEntryPermission(Permission = "Edit", Id = Id)] 
public ActionResult Edit(int? Id){ 
    //edit action 
} 

Wo Blog Id aus der Anforderung erfasst wird.

Jede Information oder Richtung auf Berechtigung basierte Authentifizierung würde am meisten geschätzt werden. Vielen Dank im Voraus für Ihre Hilfe.

Answer 1

Sie können Ihre benutzerdefinierten implementieren AuthorizationAttribute, wo Sie Ihre Parameter angeben wird und eine blogId aus Anfrage

es wie

public class AuthorizeEntryPermission : AuthorizeAttribute 
{ 
     public string Permission { get; set; } 

     public AuthorizeEntryPermission(){ 
     } 

     public AuthorizeEntryPermission(string Permission) 
     { 
      this.Permission = Permission; 
     } 

     protected override bool AuthorizeCore(HttpContextBase httpContext) 
     { 
      var id = context.Request.RequestContext.RouteData.Values["Id"]; 
      //check your permissions 
     } 

     public override void OnAuthorization(AuthorizationContext filterContext) 
     { 
      if (AuthorizeCore(filterContext.HttpContext)) 
      { 
       // ** IMPORTANT ** 
       // Since we're performing authorization at the action level, the authorization code runs 
       // after the output caching module. In the worst case this could allow an authorized user 
       // to cause the page to be cached, then an unauthorized user would later be served the 
       // cached page. We work around this by telling proxies not to cache the sensitive page, 
       // then we hook our custom authorization code into the caching mechanism so that we have 
       // the final say on whether a page should be served from the cache. 

       HttpCachePolicyBase cachePolicy = filterContext.HttpContext.Response.Cache; 
       cachePolicy.SetProxyMaxAge(new TimeSpan(0)); 
       cachePolicy.AddValidationCallback(CacheValidateHandler, null /* data */); 
      } 
      else 
      { 
       //handle no permission 
      } 
     } 

     private void CacheValidateHandler(HttpContext context, object data, ref HttpValidationStatus validationStatus) 
     { 
      validationStatus = OnCacheAuthorization(new HttpContextWrapper(context)); 
     } 
    } 

Dann nutzen Sie dieses nicht erhalten:

[AuthorizeEntryPermission(Permission = "Edit")] 
public ActionResult Edit(int? Id){ 
    //edit action 
} 

Answer 2

MVC hat Rollen eingebaut. Sie können die Rollen so granular gestalten, wie Sie benötigen - im Wesentlichen wie Berechtigungen.

• EditBlogPost
• AddBlogPost
• ViewBlogPost

Dann können Sie die Rollen einrichten auf dem Controller des eingebauten in AuthorizeAttribute mit: Zum Beispiel könnten Sie Rollennamen wie machen.

Dann ist es nur eine Frage der Zuordnung der verschiedenen Rollen zu jedem Benutzer in Ihrer Datenbank.

Answer 3

Ich hoffe, dass Ihr Problem bis jetzt gelöst wurde. Aber es lohnt sich, eine neue Lösung hinzuzufügen. Ich habe eine Permission-basierte Erweiterung für Microsoft Identity 2-Mitgliedschaft-System implementiert. Es ist ein Open-Source-Projekt und Sie können hier auf das Repository zugreifen:

https://github.com/Arminkhodaei/Identity-Permission-Extension

Verbrauch:

Erster Ansatz:

// GET: /Manage/Index 
[AuthorizePermission(Name = "Show_Management", Description = "Show the Management Page.")] 
public async Task<ActionResult> Index(ManageMessageId? message) 
{ 
    //... 
} 

Zweiter Ansatz:

// GET: /Manage/Users 
public async Task<ActionResult> Users() 
{ 
    if (await HttpContext.AuthorizePermission(name: "AllUsers_Management", description: "Edit all of the users information.")) 
    { 
     return View(db.GetAllUsers()); 
    } 
    else if (await HttpContext.AuthorizePermission(name: "UnConfirmedUsers_Management", description: "Edit unconfirmed users information.")) 
    { 
     return View(db.GetUnConfirmedUsers()); 
    } 
    else 
    { 
     return View(new List<User>()); 
    } 
}